Google weiß von einem Exploit für CVE-2026-125350, der bereits im Einsatz ist, und hat die Lücke am Montag, den 9. November 2026, in Chrome 157 geschlossen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Was Google am 9. November veröffentlicht hat

Der Eintrag auf Google Chrome Releases nennt für den Stable-Kanal die Versionen 157.0.8103.50 und .51 für Windows und Mac, für Linux 157.0.8103.50. Verteilt wird nach Angaben von Google über die kommenden Tage und Wochen, nicht bei allen Rechnern gleichzeitig.

Neun Sicherheitskorrekturen stecken in dem Update. Eine davon ist CVE-2026-125350, ein Use-after-free in der XML-Komponente, von Google als „High“ eingestuft und am 6. November 2026 anonym gemeldet. Google schreibt, ein Exploit dafür existiere in freier Wildbahn.

Technische Einzelheiten zu den Fehlern hält Google zunächst zurück, der Zugriff auf die Fehlerdetails bleibt eingeschränkt.

Wer angegriffen wird, auf welchem Weg und mit welchen Folgen, bleibt offen. Laut Malwarebytes nennt Google weder Angreifer noch Ziele, Verbreitungsweg oder Wirkung des Exploits. BleepingComputer zählt das Ereignis als achte in diesem Jahr ausgenutzte Zero-Day-Lücke in Chrome. Diese Zählung stammt vom Portal, nicht von Google. Auf die Zahl der Lücken kommt es für den einzelnen Rechner ohnehin nicht an, entscheidend ist der Stand der installierten Version.

Wie heise und Malwarebytes das Risiko beschreiben

Nach Darstellung von heise online reicht in der Regel das Anzeigen einer präparierten Webseite für einen Angriff. Wer Chrome nutzt, sollte deshalb zügig aktualisieren und den Browser neu starten. Für den Extended-Stable-Kanal nennt heise die Version 156.0.8078.96.

Der Neustart ist der Punkt, an dem ein Update hängen bleiben kann, auch wenn die neue Version längst heruntergeladen ist. Laut Malwarebytes fällt zurück, wer den Browser nie schließt oder durch eine Erweiterung blockiert wird. BleepingComputer schreibt, Chrome installiere Updates sonst nach dem nächsten Start automatisch; das Update sei beim Prüfen sofort verfügbar gewesen.

Ob ein bestimmter Rechner die neue Version schon hat, zeigt nur der Versionsdialog unter „Info zu Google Chrome“. Dort stößt Malwarebytes zufolge auch die Aktualisierung an, danach folgt der Neustart des Browsers.

Edge: Fix in Arbeit, ohne Termin

Die Lücke betrifft die Chromium-Basis, deshalb dürften laut heise auch andere darauf aufbauende Browser Updates nachlegen, Edge und Brave eingeschlossen. Microsoft hat in den Release-Notes zu Edge am 9. November vermerkt, die Exploits zu kennen und aktiv an einem Sicherheits-Fix zu arbeiten.

Beim Abruf der Release-Notes am späten Abend des 10. November stand dort weiterhin dieser Eintrag vom 9. November, noch ohne Edge-Versionsnummer für die Lücke. Die jüngste Stable-Version von Edge in den Release-Notes ist 157.0.4341.42 vom 5. November 2026, sie stammt also aus der Zeit vor der Chrome-Korrektur vom 9. November. Wann der Fix kommt, sagt Microsoft nicht.

Was ein Betrieb daraus ableiten kann

Ob ein Browser-Update angekommen ist, entscheidet sich am einzelnen Rechner und an dessen Neustart. Zur Update-Disziplin an anderer Stelle gibt es den Artikel Microsoft-Patchday September 2026: fast 1.000 Lücken, RDS-Probleme.

Die Quellen nennen weder eine Pflicht noch betroffene Branchen. Was folgt, ist unsere Einordnung. Auf jedem Rechner einmal „Info zu Google Chrome“ öffnen, auf die Version 157.0.8103.50 oder .51 achten und den Browser neu starten, ist der Handgriff, der in jedem Fall zur Prüfung gehört, denn Google meldet für diese Lücke einen Exploit in freier Wildbahn. Bei Rechnern, die ein Dienstleister verwaltet, genügt eine Rückfrage, ob das Update schon verteilt wurde. Bei Edge lässt sich erst prüfen, wenn Microsoft eine Version für die Lücke nennt.

Unsere Einschätzung

Aus unserer Sicht entscheidet sich der Schutz an einer Gewohnheit: Läuft der Browser über Tage und wird der Neustart weggeklickt, bleibt das heruntergeladene Update ohne Wirkung. Laut Google und Malwarebytes greift die Korrektur erst nach dem Neustart. Ein Rechner kann also auf dem Papier aktuell sein und trotzdem noch die alte Version ausführen. Wer Rechner im Betrieb verantwortet, sollte diesen Unterschied kennen und beim Prüfen nicht auf eine Meldung im Browser vertrauen, sondern auf den Versionsdialog. Dort steht, was tatsächlich läuft.

Wir würden deshalb einmal pro Rechner prüfen und neu starten lassen, am besten am selben Tag.

Wer das Update einem Dienstleister überlässt, sollte sich die Version nennen lassen, statt ein „läuft automatisch“ zu glauben. Die Versionsnummer im Dialog ist ein besserer Beleg als jede Zusage. Für Edge empfehlen wir, die Release-Notes im Blick zu behalten und die Versionsprüfung anzustoßen, sobald Microsoft den Fix meldet. Welche Angreifer die Lücke nutzen, ändert an diesem Handgriff nichts, er bleibt derselbe.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 11. November 2026):

Häufige Fragen

Welche Chrome-Version schließt die ausgenutzte Lücke?

Google hat am 9. November 2026 den Stable-Kanal auf 157.0.8103.50 und .51 für Windows und Mac sowie auf 157.0.8103.50 für Linux aktualisiert. Das Update enthält 9 Sicherheitskorrekturen. Verteilt wird nach Angaben von Google über die kommenden Tage und Wochen.

Was ist über CVE-2026-125350 bekannt?

Es handelt sich um einen Use-after-free in der XML-Komponente, von Google als „High“ eingestuft und am 6. November 2026 anonym gemeldet. Google schreibt, ein Exploit existiere in freier Wildbahn. Angreifer, Ziele, Verbreitungsweg und Wirkung nennt Google nicht.

Ist Microsoft Edge auch betroffen und gibt es schon einen Fix?

Laut heise betrifft die Lücke die Chromium-Basis, daher dürften auch Edge und andere darauf aufbauende Browser Updates nachlegen. Microsoft schrieb in den Release-Notes am 9. November, die Exploits zu kennen und an einem Sicherheits-Fix zu arbeiten. Stand 10. November nennen die Release-Notes keine Edge-Version und keinen Termin.

Was sollte ein Betrieb jetzt prüfen?

Aus unserer Sicht auf jedem Rechner „Info zu Google Chrome“ öffnen, die Version mit 157.0.8103.50 oder .51 vergleichen und den Browser neu starten, denn laut Google und Malwarebytes wirkt das Update erst danach. Bei verwalteten Rechnern genügt die Rückfrage beim Dienstleister, ob das Update verteilt ist. Bei Edge empfehlen wir, die Release-Notes zu beobachten und nach der Meldung eines Fixes die Version zu prüfen.

Wer im Betrieb prüft, ob der Browser nach einem Update wirklich neu gestartet wurde?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 11. November 2026. Stand der Recherche: 11. November 2026.