wbroom

Was ist Chrome 152 CVE-2026-85046: sechster Zero-Day 2026

Google hat den sechsten Chrome-Zero-Day 2026 im Stable-Kanal geschlossen. Hier die Versionsuntergrenze, der In-the-Wild-Satz und warum Chromium-Forks hinterherlaufen.

Am 3. September 2026 hat Google Desktop-Chrome Stable auf 152.0.7977.82/.83 gehoben und eine V8-Typverwirrung geschlossen, die laut Google bereits ausgenutzt wird.

Das suchbare Ereignis ist CVE-2026-85046. Chrome Releases nennt Typverwirrung in V8, gemeldet von Salvatore Gulizia (Serotav) am 2026-08-04, Prämie 1000 Dollar.

4. Aug.: Meldung Gulizia 3. Sep.: Stable 152.82 Version prüfen, neu starten

Was die Advisory sagt

Stable ist 152.0.7977.82/.83 unter Windows und macOS und 152.0.7977.82 unter Linux. Die Auslieferung dauert Tage bis Wochen. Derselbe Absatz bestätigt einen Exploit in the wild.

6 / 2026
Chrome-Zero-Days 2026 (SecurityWeek)
12
CVEs derselben Stable-Lieferung (HKCERT)
152.82
Linux-Untergrenze; Win/mac auch .83

So liest man das Update

  1. 1

    Als Stable-Sicherheitspaket lesen, nicht als Feature-Release

    Die Überschrift vom 3. September ist ein Desktop-Stable-Update. SecurityWeek: 12 Fixes, davon neun hoch, zwei mittel. Die Schlagzeile ist diese bereits ausgenutzte V8-Typverwirrung.

  2. 2

    Versionsnummer und Neustart als einen Schritt behandeln

    Ein heruntergeladener Patch wirkt erst nach dem Neustart. Hilfe → Über Google Chrome oder chrome://settings/help. 152.0.7977.82 oder neuer bestätigen, alte Prozesse beenden.

  3. 3

    Chrome und andere Chromium-Schalen getrennt prüfen

    Der V8-Fix landet in Chromium, aber Edge, Brave, Opera und Vivaldi liefern nach eigenem Kalender. Festgezogene Builds, Kioske und nie neu startende Browser bleiben ein Inventarproblem.

01

Sechster Zero-Day ist eine Zählung, keine Note

SecurityWeek listet fünf frühere Chrome-Zero-Days 2026. Das zeigt nur, dass V8 oft Ziel ist — nicht, dass dieser Bug schwerer ist als der letzte.

02

Code in der Sandbox ist keine volle Geräteübernahme

Chromiums eigene Wirkung endet in der Sandbox. Ein Ausbruch braucht einen zweiten Bug. Ob der Wild-Exploit das schon verkettete, steht nicht da.

03

Technikdetails werden absichtlich zurückgehalten

Die Stable-Notiz nennt CVE, Komponente, Melder und Prämie. Spätere Compiler-Notizen sind keine Nutzeranleitung; Exploit-Schritte werden hier nicht wiederholt.

Aussage Prüfbare Quelle Lesart
CVE-2026-85046, V8-Typverwirrung, High; Exploit in the wild Chrome Releases, 2026-09-03; SecurityWeek, 2026-09-04 Herstellerbestätigung
Win/mac 152.0.7977.82/.83; Linux 152.0.7977.82 Dieselbe Stable-Notiz; HKCERT 4. Sep. Mindest-Sicherheitsbuild
Sechster Chrome-Zero-Day 2026; fünf frühere CVE-IDs SecurityWeek-Zählung der Google-Advisories Pressetally, kein CVSS

Eine Engine zu patchen ist ein anderes Werkzeug als Sprechen über ein Board im Tab. Für Stimme und Whiteboard reicht die wbroom-Startseite ohne Konto. Schritte: Raum erstellen und beitreten. Nahe Browserstücke: Firefox-iOS-Werbeblocker und GrapheneOS zu Pixel 11. Räume ohne Konto: Datenschutzhinweis.

Chrome Releases, 3. September 2026: Google is aware that an exploit for CVE-2026-85046 exists in the wild.

# Chrome Stable 2026-09-03
CVE-2026-85046  High  Type confusion in V8
Reporter: Salvatore Gulizia (Serotav)  2026-08-04  $1,000
Fixed: 152.0.7977.82/.83 Win/macOS · 152.0.7977.82 Linux
Google: exploit exists in the wild
Also: 11 more CVEs in the same Stable drop (HKCERT: 85042–85053)

Grenzen

Stable heißt nicht, jede Maschine ist gepatcht
Die Auslieferung dauert Tage bis Wochen. Tabs ohne Neustart laufen weiter mit der alten Engine.
Forks haben nicht Chromes Lieferdatum
Edge und andere holen Chromium-Fixes nach eigenem Kalender. Maßgeblich ist die jeweilige Info-Seite.
Zwölf CVEs sind nicht eine Geschichte
HKCERT listet 85042 bis 85053. Nur 85046 hat Google als in the wild markiert.

Fragen zum Gegenprüfen

Welche Version gilt als gepatcht?

Linux braucht 152.0.7977.82 oder neuer; Windows und macOS 152.0.7977.82 oder .83 oder neuer. Quelle: Chrome Releases vom 3. September und HKCERT.

Reicht ein Chrome-Update für Handys und andere Chromium-Browser?

Nein. Die Notiz betrifft Desktop-Stable. Android-Chrome, Chrome unter iOS, Edge und Brave holen denselben V8-Fix über eigene Kanäle.

Feature-Release oder Sicherheitsdrop?

Laut Stable-Notiz vom 3. September ein Desktop-Update mit 12 Sicherheitsfixes. Die Schlagzeile ist eine bereits ausgenutzte V8-Typverwirrung, keine Keynote.

Meeting starten