CVE-2026-125350: Chrome XML Zero-Day in freier Wildbahn ausgenutzt

Google hat ein Notfall-Sicherheitsupdate veröffentlicht, das CVE-2026-125350 adressiert, eine Zero-Day-Sicherheitslücke mit hoher Schwere im XML-Komponent von Google Chrome, die bereits in realen Angriffen ausgenutzt wird. Das Problem wird als Speichersicherheitslücke nach der Freigabe klassifiziert und wurde Google anonym am 6. November 2026 gemeldet.

Google bestätigte am 9. November, dass ein Exploit für die Sicherheitslücke in der freien Wildbahn existiert. Allerdings hat das Unternehmen nicht offengelegt, wie Angreifer den Exploit verbreiten, welche Organisationen oder Personen angegriffen werden oder ob die Sicherheitslücke mit zusätzlichen Browser- oder Sandboxausbruchsfehlern kombiniert wird. Der Zugriff auf den zugrunde liegenden Chromium-Fehler bleibt eingeschränkt, während Benutzer das Sicherheitsupdate einsetzen.

Der Fix ist in Chrome Stable 157.0.8103.50/.51 für Windows und macOS sowie 157.0.8103.50 für Linux enthalten. Google hat auch Extended Stable 156.0.8078.96 für Windows und macOS mit einem Fix für die gleiche Sicherheitslücke veröffentlicht.

Vertrieb kontaktieren

CVE-2026-125350 ist die achte bekannte Chrome Zero-Day-Sicherheitslücke, die im Jahr 2026 in der Wildnis ausgenutzt wurde, nach CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 und CVE-2026-87491. Bis zum 10. November berichtet SecurityWeek, dass CISA die neu offengelegte Schwachstelle noch nicht in seinen Katalog der bekannt ausgenutzten Schwachstellen aufgenommen hat.

Use-after-free Schwachstellen treten auf, wenn die Software weiterhin auf Speicher verweist, nachdem dieser freigegeben wurde. Je nach betroffenem Code und Ausbeutungstechnik kann eine solche Speicherbeschädigung möglicherweise zum Absturz des Browsers, zur Datenbeschädigung oder zur Ausführung von Code unter der Kontrolle des Angreifers führen. Google hat den genauen Effekt, der in den beobachteten Angriffen erzielt wurde, nicht offengelegt. Daher sollten Verteidiger nicht davon ausgehen, dass bereits eine öffentlich dokumentierte Kette zum vollständigen Systemkompromiss existiert.

Sicherheitsteams können SOC Primes KI-natives Detection Intelligence Platform nutzen, um die Erkennungsabdeckung gegen Browser-Ausnutzungen, verdächtige Kindprozesse, Payload-Ausführungen und nachfolgendes Angreiferverhalten in SIEM-, EDR-, XDR- und Data Lake-Umgebungen zu stärken.

Erkennen Sie CVE-2026-125350, indem Sie eine Inventarisierung der Browserversion mit Endpoint- und Netzwerk-Telemetrie kombinieren und verdächtige von Chrome gestartete Prozesse, ungewöhnliche Browserabstürze, unerwartete Payload-Downloads und nach dem Besuch potenziell bösartiger Websites auftretendes post-exploitation Verhalten überwachen.

Erkennungsinhalte sind möglicherweise nicht für jeden CVE verfügbar. Überprüfen Sie die aktuelle Abdeckung auf der SOC Prime-Plattform. Wenn relevante Erkennungen noch nicht verfügbar sind, überprüfen Sie erneut, da kontinuierlich neue Bedrohungsinformationen und Erkennungsinhalte hinzugefügt werden.

Analyse von CVE-2026-125350

CVE-2026-125350 betrifft anfällige Google Chrome-Versionen, die die Use-after-free-Situation im XML-Komponent des Browsers enthalten. Google bewertet die Sicherheitslücke als hochgefährlich, hat jedoch in seinem Beratungsschreiben vom 9. November keinen CVSS-Score oder -Vektor veröffentlicht.

Eine Use-after-free tritt auf, wenn Speicher freigegeben wird, die Software jedoch später versucht, auf denselben Speicherort zuzugreifen. Wenn ein Angreifer die Inhalte beeinflussen kann, die anschließend in diesem Speicher platziert werden, kann die veraltete Referenz möglicherweise manipuliert werden, um das Programmverhalten zu ändern.

In einem Webbrowser sind Speichersicherheitslücken besonders wichtig, da von Angreifern kontrollierte Inhalte routinemäßig von komplexen Browserkomponenten verarbeitet werden. Google hat jedoch noch nicht das genaue XML-Objekt offengelegt, die Sequenz zum Auslösen des Fehlers oder den spezifischen Webinhalt, der von Angreifern verwendet wird.

Das mit der Sicherheitslücke verbundene Chromium-Problem ist derzeit eingeschränkt. Google beschränkt routinemäßig den Zugriff auf technische Fehlerdetails, bis die Mehrheit der Benutzer den Patch erhalten hat, und Einschränkungen können länger bestehen bleiben, wenn ein Fehler auch in Drittanbietersoftware existiert.

Infolgedessen bleiben mehrere wichtige technische Details unbekannt. Die verfügbaren Quellen legen nicht fest, ob die Ausnutzung einfach durch den Besuch einer bösartigen Seite, das Öffnen speziell gestalteter XML-Inhalte, die Interaktion mit einer Seite oder einen anderen Übertragungsmechanismus erfordert wird. Sie bestätigen auch nicht, ob Angreifer Codeausführung innerhalb eines Chrome Renderers erreichen, den Browser-Sandbox entkommen oder die Sicherheitslücke mit einem anderen Fehler kombinieren.

The Hacker News stellt fest, dass Use-after-free Fehler potenziell zu Datenbeschädigung, Abstürzen oder beliebiger Codeausführung führen können. Dies beschreibt die allgemeine sicherheitsrelevante Auswirkung dieser Kategorie von Sicherheitslücken und ist keine von Google bestätigte Beschreibung der genauen Ausbeutungskette, die gegen CVE-2026-125350 verwendet wird.

Googles Aussage ist dennoch bedeutend, da das Unternehmen explizit bestätigt, dass ein Exploit in der Wildnis existiert. Dies bedeutet, dass die Sicherheitslücke als sofortige Patch-Priorität behandelt werden sollte, auch wenn technische Informationen über die Angriffe begrenzt bleiben.

Die Sicherheitslücke wurde Google anonym am 6. November 2026 gemeldet. Nur drei Tage später, am 9. November, veröffentlichte Google gepatchte Stable-Versionen für Windows, macOS und Linux und bestätigte die aktive Ausnutzung.

Das Update, das den Zero-Day-Fix enthält, behebt insgesamt neun Sicherheitsprobleme. Andere schwerwiegende Schwachstellen umfassen ein Problem mit nicht initialisierten Ressourcen in WebGL, einer falschen Autorisierung in FileSystem, einem Pufferüberlauf in Compositing, einem Out-of-Bounds-Schreibvorgang in GPU, einer Typverwirrung in V8 und einem weiteren Use-after-free Fehler in XML, der als CVE-2026-125346 verfolgt wird. Zwei mittelschwere GPU-Schwachstellen wurden ebenfalls behoben.

Das Vorhandensein von CVE-2026-125346 in derselben Veröffentlichung ist es wert, von der aktiv ausgenutzten Schwachstelle unterschieden zu werden. Beide Probleme betreffen Use-after-free-Bedingungen in Chromes XML-Funktionalität, aber Google hat nur angegeben, dass CVE-2026-125350 in der Wildnis ausgenutzt wird.

Google hat die folgenden korrigierten Stable-Versionen veröffentlicht:

Extended Stable-Benutzer auf Windows und macOS sollten auf Version 156.0.8078.96 oder neuer umsteigen.

Da Chrome-Updates schrittweise ausgerollt werden, kann ein installierter Browser nicht sofort die gepatchte Version erhalten. Benutzer und Administratoren sollten daher die tatsächliche laufende Version überprüfen, anstatt anzunehmen, dass automatische Updates das Problem bereits behoben haben.

Die PoC-Situation von CVE-2026-125350 erfordert ebenfalls Vorsicht. Google bestätigt, dass Angreifer über einen funktionierenden Exploit verfügen, aber weder Google noch die beiden bereitgestellten Berichte identifizieren ein öffentlich veröffentlichtes Proof-of-Concept zur Reproduktion des Exploits. Die Chromium-Fehlerdetails bleiben eingeschränkt, was die Fähigkeit der Verteidiger einschränkt, die Schwachstelle zu reproduzieren oder exploit-spezifische Artefakte zu identifizieren.

Zur Erkennung von CVE-2026-125350 sollten Organisationen mit dem Management der Exposition beginnen. Sicherheitsteams sollten Chrome-Versionen auf Endpunkten inventarisieren und Systeme identifizieren, auf denen Builds älter als die korrigierten Versionen laufen. Vorwiegend mit dem Internet verbundene Server sind hier nicht das Hauptanliegen; Arbeitsstationen von Mitarbeitern und andere Systeme, die zum Surfen im Web verwendet werden, verdienen sofortige Aufmerksamkeit.

Endpoint-Telemetrie kann zusätzliche Suchmöglichkeiten bieten. Verteidiger sollten ungewöhnliche Prozesse untersuchen, die von Chrome aus gestartet werden, insbesondere Befehlsinterpreter, Skript-Engines, Systemdienstprogramme oder neu heruntergeladene ausführbare Dateien, die unmittelbar nach Browseraktivitäten auftreten.

Verdächtiges Verhalten kann die unerwartete Ausführung von PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe oder anderen Dienstprogrammen aus einem Chrome-bezogenen Prozessbaum umfassen. Solche Aktivitäten sind nicht spezifisch für diese Sicherheitslücke und sollten nicht allein als Beweis für eine Ausnutzung betrachtet werden, können jedoch ein nützliches Verhaltenssignal liefern, wenn sie mit anfälligen Browser-Versionen und verdächtigen Browsing-Aktivitäten kombiniert werden.

Sicherheitsteams sollten auch Endpoint-Telemetrie auf ungewöhnliche Chrome-Abstürze oder Renderer-Fehler überprüfen, gefolgt von neuen Prozessexekutionen, Dateierstellungen, Zugängen zu Anmeldeinformationen, Persistenz oder Netzwerkverbindungen. Allein Browserabstürze kommen häufig vor und erfordern daher die Korrelation mit weiteren Beweisen.

Webproxy-, DNS-, Secure-Web-Gateway- und Endpoint-Browser-Telemetrie können helfen, Benutzeraktivitäten vor verdächtiger Ausführung zu rekonstruieren. Organisationen sollten relevante Browserverlaufs- und Netzwerkprotokolle sichern, wenn eine Ausnutzung vermutet wird, insbesondere da Google keine Informationen über die in den beobachteten Angriffen verwendeten Websites oder Infrastrukturen veröffentlicht hat.

Derzeit gibt es keine von Anbietern veröffentlichten IO-Cs zu CVE-2026-125350 wie bösartige Domains, IP-Adressen, Payload-Hashes oder Angreifer-Infrastrukturen. Google hat auch weder die verantwortlichen Bedrohungsakteure, betroffenen Organisationen, Kampagnenziele noch geografische Zielgebiete offengelegt.

Dieser Mangel an statischen Indikatoren macht verhaltensbasierte Überwachung und schnelles Management von Browserversionen besonders wichtig. Eine Jagd, die ausschließlich auf Hashes oder bekannten Domains basiert, kann nicht zuverlässig feststellen, ob eine Umgebung auf eine Ausnutzung gestoßen ist, wenn die öffentliche Angriffs-Infrastruktur unbekannt bleibt.

Organisationen, die Chromium-basierte Browser wie Microsoft Edge, Brave, Opera und Vivaldi verwenden, sollten die entsprechenden Anbieterhinweise überwachen und relevante Sicherheitsupdates bereitstellen, sobald diese verfügbar sind. The Hacker News empfiehlt Benutzern dieser Browser, Korrekturen anzuwenden, wenn ihre Anbieter sie veröffentlichen.

CVE-2026-125350 Minderung

Die primäre Abhilfe besteht darin, Google Chrome sofort auf eine korrigierte Version zu aktualisieren und den Browser neu zu starten, damit der korrigierte Build ausgeführt wird.

Google hat veröffentlicht:

• Chrome 157.0.8103.50/.51 für Windows
• Chrome 157.0.8103.50/.51 für macOS
• Chrome 157.0.8103.50 für Linux
• Chrome Extended Stable 156.0.8078.96 für Windows und macOS

Chrome lädt normalerweise Updates automatisch herunter, aber Benutzer müssen den Browser neu starten, damit der aktualisierte Build den anfälligen laufenden Prozess ersetzt. The Hacker News empfiehlt, Mehr → Hilfe → Über Google Chrome zu öffnen und den Browser nach der Installation des Updates neu zu starten.

Unternehmenssicherheitsteams sollten die folgenden Maßnahmen ergreifen:

1. Inventarisieren Sie Chrome-Versionen auf verwalteten Endpunkten.
2. Priorisieren Sie Systeme, die noch auf ältere als die korrigierten Stable oder Extended Stable Builds laufende Versionen laufen.
3. Erzwingen oder beschleunigen Sie Chrome-Updates über Unternehmens-Browser-Management-Tools.
4. Verifizieren Sie, dass Browser tatsächlich neu gestartet wurden, nachdem sie den Patch erhalten haben.
5. Überwachen Sie Endpunkte, die nicht sofort aktualisiert werden können, auf verdächtige browserinitiierte Prozesse.
6. Beschränken Sie den Zugriff auf bekannte bösartige oder neu registrierte Webinfrastrukturen über bestehende Websicherheitskontrollen.
7. Überprüfen Sie Sicherheitstelemetrie auf verdächtige Chrome-Aktivitäten, die vor der Bereitstellung des Patches aufgetreten sind.
8. Überwachen Sie Anbieterhinweise für Chromium-basierte Browser und aktualisieren Sie diese Produkte, wenn Korrekturen verfügbar sind.

Da die Ausnutzung bereits in der Wildnis erfolgt ist, sollte das Patchen nicht die einzige Antwort für Systeme sein, die möglicherweise exponiert waren. Administratoren sollten erwägen, die jüngste Endpunktaktivität auf anfälligen Maschinen zu überprüfen, insbesondere, wo Sicherheitstools ungewöhnliche Chrome-Abstürze, durch den Browser ausgelöste Befehlsausführungen, verdächtige Downloads oder Verbindungen zu nicht vertrauenswürdigen Infrastrukturen aufgezeichnet haben.

Wenn verdächtige Aktivitäten entdeckt werden, isolieren Sie den betroffenen Endpunkt und bewahren Sie Browser-, EDR-, DNS-, Proxy- und Netzwerktelemetrie vor der Behebung auf. Ermittler sollten die vorherige Browseraktivität rekonstruieren und feststellen, ob Folgelast, Anmeldediebstahl, Persistenz oder laterale Bewegungen aufgetreten sind.

Organisationen sollten auch überprüfen, ob der Browser unter einem Konto mit Zugriff auf sensible Web-Sitzungen, Unternehmensanwendungen, Cloud-Konsolen oder privilegierte Anmeldeinformationen lief. Abhängig von Beweisen für Kompromittierung können Sitzungswiderruf und Anmeldedatenrotation angemessen sein.

Googles eingeschränkte Offenlegung bedeutet, dass Verteidiger derzeit nicht genügend öffentliche Informationen haben, um eine Signatur für den tatsächlichen Exploit zu erstellen. Dies verstärkt die Bedeutung des Patch-Managements und der generischen Ausnutzungserkennung anstelle des Wartens auf eine zuverlässige Netzwerk- oder Dateisignatur.