Im Oktober 2026 hat Google ein umfangreiches Sicherheitsupdate für die Desktop-Versionen von Google Chrome veröffentlicht (Version 155.0.8059.79/.80). Das Update schließt insgesamt 37 Sicherheitslücken, davon sieben mit kritischem Schweregrad, und richtet den Fokus vor allem auf sogenannte Use-after-free -Fehler im Speicher. Da Webbrowser nach wie vor das primäre Einfalltor für Schadsoftware darstellen, ist ein zeitnaher Neustart nach der Installation entscheidend, um das volle Schutzniveau zu aktivieren.
Überblick über das Chrome-Update 155.0.8059
- Gesamtzahl geschlossener Sicherheitslücken: 37 (Quelle: Chrome-Update-Report, 2026)
- Kritische Lücken: 7 Stück, alle Use-after-free -Fehler
- Weitere Einstufungen: 29 mit hohem Risiko, 1 mit mittlerem Risiko
- Betroffene Plattformen: Windows, macOS, Linux (Version 155.0.8059.79/.80)
- Ausnutzen bisher nicht nachgewiesen - Google gibt keine Hinweise auf aktive Exploits
Die kritischen Schwachstellen betreffen Bereiche wie PDF-Verarbeitung, Netzwerk-Stack, den Kern von Chrome, SVG-Rendering und Medienwiedergabe. Google nennt die genauen Exploit-Mechanismen nicht, um potenziellen Angreifern keine Anhaltspunkte zu geben.
Strukturelles Speicherproblem: Warum "Use after free" die Browserarchitektur dominiert
"Use-after-free" (UAF) bezeichnet einen Programmierfehler, bei dem ein Programm nach der Freigabe eines Speicherbereichs erneut darauf zugreift. Angreifer können diesen freigegebenen Speicher mit Schadcode belegen, der dann im Kontext des Browsers ausgeführt wird. In Chromium-Projekten wurde 2020 ermittelt, dass rund 70 % aller schwerwiegenden Sicherheitslücken auf Speicher-Safety-Probleme zurückgehen und davon etwa 50 % exakt Use-after-free -Fehler sind (Chromium-Projektanalyse, 2020, Quelle S1).
Die Dominanz von UAF-Lücken ist kein Einzelfall dieses Patches, sondern ein symptomatisches Ergebnis der jahrzehntelangen Entwicklung von Browser-Kernkomponenten in C/C++. Trotz moderner Sandbox-Technologien gelingt es Angreifern zunehmend, mehrere Schwachstellen zu kombinieren und aus der Browser-Sandbox auszubrechen, wodurch ganze Systeme kompromittiert werden können.
Technische Hintergründe
- Speicher wird nach Nutzung freigegeben, doch Zeiger bleiben bestehen.
- Ein Angreifer überschreibt den freigegebenen Speicher mit schädlichem Code.
- Der Browser greift später fälschlicherweise auf den manipulierten Speicher zu - der Schadcode wird ausgeführt.
Die Chromium-Security-Team-Dokumentation (2020) bestätigt, dass UAF-Fehler die häufigste Ursache für Speichersicherheitsdefekte im Chromium-Quellcode sind.
Das N-Day-Dilemma und die Bedeutung des "Patch Gap"
Chromium ist ein Open-Source-Projekt. Sobald Google einen Fix im Repository commitet, wird der Code öffentlich einsehbar. Dieser Zeitraum zwischen dem Commit und dem Roll-out auf Endgeräte wird als "Patch Gap" bezeichnet. Cyberkriminelle nutzen genau diesen Zeitraum, um die Änderungen zu reverse-engineeren und sogenannte N-Day-Exploits zu entwickeln, die noch nicht gepatchte Browser anvisieren.
Durch die Erhöhung des Update-Rythmus auf zweiwöchentliche Releases hat Google das Fenster für N-Day-Angriffe seit 2023 im Durchschnitt um 3,5 Tage verkürzt (Ziel der Update-Verkürzung, 2023). Dennoch bleibt das Risiko bestehen, solange Nutzer nicht sofort den Neustart durchführen.
Folgen für Chromium-Derivate (Microsoft Edge, Brave, Opera)
Die 37 geschlossenen Lücken betreffen den Chromium-Kern - damit sind nicht nur Chrome, sondern auch alle auf Chromium basierenden Browser wie Microsoft Edge, Brave, Opera und Vivaldi potenziell gefährdet. Drittanbieter müssen die Google-Patches erst in ihre eigenen Builds integrieren, kompilieren und veröffentlichen. Dieser Prozess dauert typischerweise 24 bis 72 Stunden (Neowin-Report, 2026, Quelle S2).
In der Praxis bedeutet das, dass Nutzer von Edge oder Brave bis zu einem Tag länger dem Risiko ausgesetzt sind, bis ein entsprechendes Update bereitsteht.
Praktische Tipps: Warum der Neustart unverzichtbar ist
- Chrome installiert Updates im Hintergrund, aber der Schutz wird erst nach einem Klick auf "Neu starten" aktiv.
- Viele Anwender verschieben den Neustart über Tage oder Wochen - dies hebt den Schutz auf und lässt die Schwachstellen wirksam bleiben (Counterpoint: Neustart-Faulheit).
- Ein sofortiger Neustart reduziert das Risiko, dass ein Angreifer ein noch nicht aktiviertes Update ausnutzt.
- Der Neustart ist im Chrome Security FAQ (2026) klar beschrieben.
Wenn du das Update prüfen willst, rufe in Chrome die Seite "Über Google Chrome" auf. Dort wird nach verfügbaren Aktualisierungen gesucht und das Update heruntergeladen. Anschließend erscheint ein "Neu starten" -Button, der den Browser neu startet und die Sicherheitsfixes wirksam macht.
Gegenüberstellung: Vorteile schneller Patch-Ausspielung vs. mögliche Risiken
| Vorteile schneller Ausspielung | Potenzielle Risiken |
|---|---|
|
|
Häufig gestellte Fragen (FAQ)
Was passiert genau bei einer "Use-after-free"-Sicherheitslücke?Ein Programm greift nach der Freigabe eines Speicherbereichs erneut darauf. Cyberkriminelle können diesen Speicher mit Schadcode belegen, der dann im Kontext des Browsers ausgeführt wird (Chromium Project, 2020).Reicht es aus, den Chrome-Tab einfach offen zu lassen, wenn das Update geladen ist?Nein. Der Browser installiert das Update im Hintergrund, aber der Schutz wird erst nach einem Neustart des gesamten Prozesses aktiv. Hinweis: "Neu starten"-Button (Chrome Security FAQ, 2026).Sind auch Nutzer von Edge, Brave oder Vivaldi von den 37 Lücken bedroht?Ja. Da diese Browser auf dem Chromium-Kern basieren, erhalten sie die Fixes erst nach einer typischen Verzögerung von ein bis zwei Tagen (Neowin, 2026).Fazit
Das Chrome-Sicherheitsupdate 155.0.8059.79/.80 demonstriert, dass Speicher-Safety-Probleme - insbesondere Use-after-free-Fehler - nach wie vor das Kernproblem moderner Browser darstellen. Durch die schnelle Veröffentlichung von Patches und die Reduzierung des Patch-Gap-Fensters leistet Google einen wichtigen Beitrag zum Schutz der Nutzer. Gleiches gilt für die gesamte Chromium-Ökosystem-Community, die in Memory-Safety-Technologien wie Rust oder MiraclePtr investiert.
Für Endanwender ist das wichtigste Handlungsmoment jedoch simpel: Nach der automatischen Installation das "Neu starten" sofort ausführen. Jeder Aufschub verlängert das Risiko, dass Angreifer unveröffentlichte N-Day-Exploits ausnutzen. Auch wenn schnellere Update-Zyklen potenziell zu Regressionsfehlern führen können, überwiegt der Nutzen für die Sicherheit deutlich.
Bleibe also wachsam, überprüfe regelmäßig, ob Chrome auf dem neuesten Stand ist, und starte den Browser nach jedem Update neu - so minimierst du das Angriffspotenzial und schützt nicht nur dich, sondern auch das gesamte Chromium-Ökosystem.