Die Chrome-Lücke CVE-2026-125350 wird bereits für Angriffe ausgenutzt. Google hat den Fehler mit dem Stable-Update vom 9. November 2026 geschlossen und schreibt dazu nur einen Satz: Man wisse, dass ein Exploit für CVE-2026-125350 „in freier Wildbahn“ existiert. Einen Tag später hat die US-Cybersicherheitsbehörde CISA die Schwachstelle in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Wer Chrome nutzt, sollte prüfen, ob mindestens Version 157.0.8103.50 läuft. Für Nutzer von Microsoft Edge auf dem Desktop gibt es eine zusätzliche Hürde: Microsoft hatte bis zum Morgen des 12. November noch keinen Desktop-Fix veröffentlicht.
Technische Details hält Google wie üblich zurück. Bekannt sind der Fehlertyp, die betroffene Komponente und die gefixten Versionen. Mehr braucht man für die Entscheidung, was jetzt zu tun ist, auch nicht.
CVE-2026-125350: Was Google bestätigt
Im offiziellen Chrome-Releases-Blog beschreibt Google CVE-2026-125350 als „Use after free in XML“ mit dem Schweregrad „High“. Gemeldet wurde der Fehler laut Eintrag zweimal: am 12. Oktober 2026 von Arni Hardarson (Neonix Security) und am 6. November 2026 von einer anonymen Quelle. Die Bug-Tracker-Einträge sind gesperrt. Google begründet das mit dem Standardhinweis, Details blieben eingeschränkt, bis die Mehrheit der Nutzer aktualisiert habe – und auch dann, wenn der Fehler in einer Drittbibliothek steckt, von der andere Projekte ebenfalls abhängen und die dort noch nicht behoben ist.
Ein Use-after-free entsteht, wenn ein Programm Speicher freigibt, später aber noch über einen alten Zeiger darauf zugreift. Gelingt es einem Angreifer, den freigegebenen Bereich gezielt mit eigenen Daten zu füllen, kann aus dem Absturz eine Codeausführung werden. In Browsern sind solche Fehler typischerweise über präparierte Webseiten erreichbar: Der Nutzer muss nur eine Seite öffnen, die den verwundbaren Codepfad anspricht. Ob die Angreifer im aktuellen Fall zusätzlich eine Lücke zum Ausbruch aus der Chrome-Sandbox nutzen, hat Google nicht mitgeteilt. Auch zu Opfern, Zielgruppen oder Akteuren gibt es keine Angaben.
Betroffene Versionen und Updates
Behoben ist CVE-2026-125350 in folgenden Chrome-Versionen für den Desktop:
- Windows und macOS: 157.0.8103.50 bzw. 157.0.8103.51
- Linux: 157.0.8103.50
Google verteilt das Update wie üblich schrittweise „über die kommenden Tage/Wochen“. Wer nicht warten will, öffnet in Chrome Einstellungen → Über Google Chrome; der Browser sucht dann sofort nach der neuen Version und verlangt anschließend einen Neustart. Erst nach diesem Neustart ist der Fix aktiv – ein Punkt, der in der Praxis oft untergeht, weil viele Nutzer den Browser tagelang offen lassen.
Das Update enthält insgesamt neun Sicherheitskorrekturen. Im Blogeintrag sind acht davon mit CVE-Nummer aufgeführt: neben dem Zero-Day fünf weitere als „High“ eingestufte Fehler in WebGL (CVE-2026-125345), FileSystem (CVE-2026-125347), Compositing (CVE-2026-125343), GPU (CVE-2026-125348) und der JavaScript-Engine V8 (CVE-2026-125344) sowie zwei Fehler mittlerer Schwere in der GPU-Komponente (CVE-2026-125349, CVE-2026-125342). Für keinen dieser weiteren Fehler meldet Google eine Ausnutzung.
CISA-Frist und Lage bei Edge
Die CISA hat CVE-2026-125350 am 10. November 2026 in den Known Exploited Vulnerabilities Catalog aufgenommen. US-Bundesbehörden müssen die Lücke bis zum 24. November 2026 schließen. Ob die Schwachstelle in Ransomware-Kampagnen eingesetzt wird, ist laut Katalog „Unknown“. Für Unternehmen außerhalb der US-Verwaltung ist die Frist nicht bindend, sie ist aber ein brauchbarer Maßstab: Eine aktiv ausgenutzte Browserlücke gehört nicht in den nächsten regulären Patchzyklus.
Da der Fehler im Chromium-Unterbau steckt, sind auch andere Browser auf Chromium-Basis betroffen, sofern sie die Korrektur noch nicht übernommen haben. Microsoft schreibt in den Sicherheits-Release-Notes für Edge unter dem 9. November, man wisse von den Exploits und arbeite an einem Fix. Am 11. November folgte Edge für Android in Version 157.0.4341.53 mit der Korrektur für CVE-2026-125350. Für den Desktop-Edge war beim Abruf am Morgen des 12. November keine neue Version mit diesem Fix gelistet; die zuletzt genannte Stable-Version 157.0.4341.42 stammt vom 5. November und damit aus der Zeit vor dem Chrome-Fix. Administratoren sollten die Seite im Blick behalten und das nächste Edge-Update zügig ausrollen.
Für andere Chromium-Browser wie Brave, Opera oder Vivaldi lagen uns keine eigenen Herstellerangaben zu CVE-2026-125350 vor. Wer sie einsetzt, sollte in den jeweiligen Versionshinweisen prüfen, ob die Chromium-Basis 157.0.8103.50 oder neuer enthalten ist.
Einordnung: Der nächste Chrome-Zero-Day des Jahres
Fachmedien wie BleepingComputer und SecurityWeek zählen CVE-2026-125350 als achten aktiv ausgenutzten Chrome-Zero-Day des Jahres 2026. Das Muster ist bekannt: Google bestätigt die Ausnutzung, nennt aber keine Details, und Angriffe auf Browser-Speicherfehler zielen erfahrungsgemäß häufig auf ausgewählte Personen statt auf die breite Masse. Das ist kein Grund zur Entwarnung. Sobald ein Patch öffentlich ist, lässt sich durch den Vergleich der Codeänderungen nachvollziehen, wo der Fehler liegt – und genau diese Lücke zwischen Patch und Installation nutzen Angreifer gern. Wie schnell das gehen kann, haben wir zuletzt beim Patch-Gap-Experiment mit GLM 5.3 und Firefox beschrieben.
Bemerkenswert ist der doppelte Meldeweg: Ein Forscher hatte den Fehler bereits Mitte Oktober gemeldet, die anonyme Meldung kam knapp vier Wochen später, drei Tage vor dem Update. Ob die anonyme Meldung den Hinweis auf die laufende Ausnutzung lieferte, lässt sich aus dem Eintrag nicht ablesen.
Was Admins und Nutzer jetzt tun sollten
- Version prüfen: In Chrome
chrome://settings/helpaufrufen. Angezeigt werden sollte 157.0.8103.50 oder höher; danach den Browser neu starten. - Verwaltete Umgebungen: Über Gruppenrichtlinien oder das MDM prüfen, ob automatische Updates aktiv sind und ob ein erzwungener Neustart nach Updates konfiguriert ist. Geräte mit lange laufenden Browsersitzungen gezielt nachziehen.
- Edge im Blick behalten: Bis Microsoft den Desktop-Fix liefert, bleibt Edge auf Windows und macOS verwundbar. Das betrifft auch Anwendungen, die Edge WebView2 nutzen und Webinhalte aus nicht vertrauenswürdigen Quellen darstellen – hier hängt der Schutz ebenfalls am Edge-Update.
- Andere Chromium-Browser: Brave, Opera, Vivaldi und Co. auf ihre Chromium-Basis prüfen und aktualisieren.
- Inventar abgleichen: Die Lücke reiht sich in eine Woche mit mehreren ausgenutzten Schwachstellen ein, darunter der Outlook-Zero-Day vom Patchday November 2026 und die GPUStack-Lücke CVE-2026-102895. Wer ohnehin gerade patcht, sollte Browser nicht ans Ende der Liste setzen.
Was offen bleibt
Unklar sind derzeit vor allem drei Punkte: wer die Lücke ausnutzt, gegen wen, und ob dafür eine Exploit-Kette mit weiteren Fehlern nötig ist. Ebenfalls offen ist, ob der XML-Fehler in Code steckt, den auch andere Projekte außerhalb von Chromium verwenden – Googles Hinweis auf Drittbibliotheken ist ein Standardsatz und kein Beleg dafür. Sobald Google die Bug-Einträge freigibt oder Microsoft den Desktop-Fix für Edge veröffentlicht, ergänzen wir diesen Beitrag.
Stand dieses Beitrags ist der 12. November 2026, 09:45 Uhr MEZ.
