Aktive Angriffe: Sandbox-RCE in allen Chromium-Versionen
Actively exploited sandbox RCE in all Chromium versions
Eine Typverwechslung in V8 in Google Chrome vor Version 152.0.7977.82 ermöglicht Remote-Angreifern, beliebigen Code innerhalb der Sandbox über eine präparierte HTML-Seite auszuführen. Die Schwachstelle CVE-2026-85046 wurde aktiv ausgenutzt und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt. Ein Update auf Chrome 152.0.7977.82 oder neuer ist dringend erforderlich.
Eine Typverwechslung in V8 in Google Chrome vor Version 152.0.7977.82 erlaubte einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox über eine präparierte HTML-Seite auszuführen.
- david_shaw
Nehmen wir uns einen Moment Zeit, um über den monetären Wert dieser Sicherheitslücke zu sprechen.
Laut der Chrome-Release-Seite (https://chromereleases.googleblog.com/2026/09/stable-channel...) hat Google einem Forscher 1000 $ für die ethische Meldung gezahlt.
Die zugehörige CVE (CVE-2026-85046) wird bereits aktiv ausgenutzt. Wenn wir mal unseren Denkhut aufsetzen: Wie viel ist diese Sicherheitslücke Ihrer Meinung nach tatsächlich wert? Wie viel würde eine Organisation wie Google Ihrer Meinung nach zum Beispiel für KI-Tokens oder Rechenleistung ausgeben, um dies intern zu erkennen, bevor es gefunden und in freier Wildbahn ausgenutzt wurde?
Ethische Offenlegung ist ein kompliziertes Thema, denn Forscher sollten Fehler nicht als Lösegeld zurückhalten oder hohe Zahlungen verlangen. Aber gleichzeitig ist es sinnvoll, wenn jemand ein kritisches Problem wie dieses meldet, ihnen das zu zahlen, was der Fehler tatsächlich wert ist. Warum sollte ein Forscher effektiv bestraft werden, wenn er einen Anbieter verantwortungsbewusst informiert, anstatt den Fehler an eine "Forschungsfirma" oder eine Drei-Buchstaben-Behörde zu verkaufen?
Es ist eine Sache, wenn man ein Open-Source-Projektbetreuer ist, der einfach etwas für die Community bereitstellen möchte. Die Rechnung ist eine ganz andere, wenn man Google ist.
- publlus_enigma
Die Normalisierung, beliebigen Code auszuführen, der über das Internet geliefert wird (in Form von JavaScript und WASM), als notwendige Bedingung für den Zugriff auf die meisten Webseiten, könnte nicht eine der besten Entscheidungen gewesen sein, die wir getroffen haben.
- jokoon
Ich bevorzuge Firefox, aber hat Firefox nicht eine Geschichte mit ähnlichen Exploits?
- no-name-here
Stimmt der HN-Titel, dass alle "alle Chromium-Versionen" betroffen sind?
Laut OP-Link betrifft es nur Chrome-Versionen vor .82; .82 wurde vor 2 Tagen als stabil veröffentlicht. [1]
(Der HN-Titel stimmt auch nicht mit dem ursprünglichen Titel überein, der die CVE-ID ist – nicht gerade intuitiv.)
[1] https://chromereleases.googleblog.com/2026/09/stable-channel...
- ruuda
> Typverwechslung in V8
Zum Glück habe ich js standardmäßig deaktiviert. Leider bricht das etwa 30% des Webs. Einschließlich nvd.nist.gov, das ohne js eine völlig leere Seite zeigt, obwohl es mit js nur eine einfache Seite mit statischem Inhalt ist.
- throwatdem12311
Ich bin so müde. Ich denke, ich werde einfach einen Job als Müllmann annehmen und mein Internet kündigen.
- claiir
Sind nicht alle großen Chrome-Sicherheitslücken Typverwechslungen?
- Cider9986
Brave schlägt GrapheneOS bei der Aktualität der Updates:
https://github.com/GrapheneOS/Vanadium/releases
https://github.com/brave/brave-browser/releases
Nur wenn du Nightly verwendest, vielleicht auch nicht.
- neuroticnews25
Ich würde vermuten, dass es für Angreifer jetzt trivial ist, ein LLM jeden neuen Commit im Chromium-Repository analysieren zu lassen, der mit einem Problem verknüpft ist, das aus Sicherheitsgründen 403 ist, aber vielleicht übersehe ich etwas.
- throwaway27448
Ja, verdammt. Lasst uns ein paar echte Lecks sehen.