Chrome 156 ist seit dem 20. Oktober 2026 im Stable Channel verfügbar und schließt 353 Sicherheitslücken – sechs davon sind als „Critical" eingestuft. Die prominenteste ist CVE-2026-113341, eine Memory-Corruption-Lücke in der Grafikbibliothek Skia. Ein CVSS-Score wird nicht ausgewiesen; die Einstufung folgt der projektinternen Skala von Critical bis Low. Betroffen sind alle Installationen vor 156.0.8078.47, unter Windows und macOS vor 156.0.8078.47/.48.
Bislang ist keine der geschlossenen Lücken als aktiv ausgenutzt gemeldet. Der Rollout läuft über die kommenden Tage und Wochen – ein Zeitfenster, in dem ein Teil der Installationen weiter verwundbar bleibt, unabhängig davon, wie gut die Lücken sind.
Chrome 156 im Detail: Versionen, Rollout und Severity-Verteilung
Die Versionsmatrix ist unspektakulär, für die Fleet-Adminstration aber entscheidend: 156.0.8078.47 unter Linux, 156.0.8078.47/.48 unter Windows und macOS, 156.0.8078.47 für Android und 156.0.8078.46 für iOS. Der Extended Stable Channel springt mit 156.0.8078.48 von Chromium 152 direkt auf 156 – ein Sprung über vier Major-Stände, der beim Testen von Rendering und Erweiterungen mehr Aufmerksamkeit verlangt als ein reguläres Point-Update.
Hinter der Zahl 353 steht eine Verteilung, die sich sauber aufaddiert: 6 Critical, 61 High, 197 Medium, 89 Low. Nach Typen dominieren Speicherfehler – 163 Memory Corruption und 125 Use-after-free, dazu 36 Fälle von Improper Input Validation, ergänzt um 19 Out-of-bounds Writes, 17 Out-of-bounds Reads und 7 Fälle von Improper Access Control. Diese Einzelposten summieren sich auf mehr als 353, weil sich die Kategorien überschneiden: Ein Use-after-free ist ebenfalls ein Speicherfehler.
Der systemische Impact liegt bei „Alto (65.38)"; die Lücken fallen in die Kategorien Arbitrary Code Execution und Information Disclosure. Diese 65.38 ist eine nationale Impact-Kennzahl, kein CVSS-Vektor. Wer sie in einem Reporting neben CVSS-Scores stellt, vergleicht zwei verschiedene Metriken.
Die sechs Critical-CVEs im Überblick
| CVE | Komponente | Typ | Melder / Datum |
|---|---|---|---|
| CVE-2026-113341 | Skia | Memory Corruption | Google, 3. Okt. 2026 |
| CVE-2026-113279 | Accessibility | Memory Corruption | Xinyang Ge, 5. Okt. 2026 |
| CVE-2026-113072 | CSS | Memory Corruption | Xinyang Ge, 6. Okt. 2026 |
| CVE-2026-113280 | Paint | Memory Corruption | Xinyang Ge, 6. Okt. 2026 |
| CVE-2026-113271 | Accessibility | Use after free | Xinyang Ge / Anthropic, „assisted by Claude", 8. Okt. 2026 |
| CVE-2026-113303 | WebRTC | Memory Corruption | OpenAI Codex Security („kylebot"), 15. Okt. 2026 |
Fünf der sechs Critical-Funde sind klassische Speicherfehler, vier davon in Komponenten, die täglich fremde Daten verarbeiten: Skia dekodiert Bilddaten von beliebigen Webseiten, CSS und Paint verarbeiten Stylesheet- und Layout-Eingaben, WebRTC verarbeitet Medienströme. Der Ausreißer ist CVE-2026-113271: ein Use-after-free in der Accessibility-Schicht, also in dem Teil, der Webinhalte für Screenreader und andere Hilfsmittel aufbereitet.
Critical ist bei Chromium die höchste Stufe. Sie beschreibt das potenzielle Ausmaß eines Fehlers, nicht den Nachweis eines funktionierenden Exploits. Die Bug-Details bleiben entsprechend zurückgehalten, bis die Mehrheit der Nutzer das Update erhalten hat – ein übliches Vorgehen, das aber heißt: Es gibt derzeit keine öffentliche Analyse, an der sich die reale Ausnutzbarkeit ablesen ließe.
KI-gestützte Schwachstellensuche: Claude und OpenAI Codex Security
266 der Lücken stammen aus dem eigenen Haus, 87 von externen Forschern; an Prämien wurden bislang rund 50.000 US-Dollar zuerkannt. Zwei Critical-Funde tragen einen KI-Vermerk: CVE-2026-113271 ist als „assisted by Claude" ausgewiesen, gemeldet von Xinyang Ge zusammen mit Anthropic. CVE-2026-113303 aus dem WebRTC-Umfeld geht auf „OpenAI Codex Security" zurück, gemeldet unter dem Handle „kylebot". In beiden Fällen ist die KI-Unterstützung offen ausgewiesen, ohne den Anteil zu quantifizieren.
Auffälligste Einzelperson ist Xinyang Ge mit 15 gemeldeten Schwachstellen – vier der sechs Critical-Lücken gehen auf ihn zurück. Eine Prämie wurde ihm nach derzeitigem Stand nicht zuerkannt; mehrere, möglicherweise alle seiner Funde entstanden mit Claude-Unterstützung. Wer daraus eine Erfolgsgeschichte der KI-Schwachstellensuche liest, sollte zwei Dinge im Blick behalten: Die Zuordnung stützt sich auf Selbstauskünfte im Bug-Tracker, und ob die Trefferquote von Claude oder Codex über der menschlicher Forscher liegt, lässt sich aus 353 Einträgen nicht ableiten. Auch die niedrige Prämensumme für 87 externe Meldungen ist kein Beleg für geringe Schwere – ob sie an der Severity der Funde oder an der Prämienpolitik liegt, bleibt offen.
Chromium-Konkurrenz: Edge, Brave, Opera und Vivaldi hinken hinterher
Wer einen Chromium-Ableger einsetzt, ist nicht automatisch auf demselben Patchstand. Zum Redaktionszeitpunkt liegen Brave 1.97.59 (Chromium 155.0.8059.85), Microsoft Edge 155.0.4283.62 (155.0.8059.85), Opera One 138.0.6044.24 (Chromium 154.0.8037.99) und Vivaldi 8.2.4133.89 (152.0.7977.170 im Extended Stable, Sicherheitsupdates bis 155.0.8059.85) vor. Der Rückstand liegt bei einer bis vier Chromium-Generationen.
Das ist kein Grund für Panik – Derivate übernehmen Fixes traditionell mit Verzögerung, und bislang ist keine aktive Ausnutzung bekannt. Es ist aber ein Argument gegen die verbreitete Annahme, ein Chromium-Browser erbe die Chrome-Patches automatisch. Wer Edge oder Brave produktiv einsetzt, sollte den jeweiligen Versionsstand gegen die Chromium-Basis prüfen, statt sich auf die Chrome-Meldung zu verlassen. Der nächste Major-Release steht ohnehin bereits in zwei Wochen an.
Was Admins jetzt tun sollten
Ein Workaround ist nicht dokumentiert – die einzige Maßnahme bleibt das Update über den internen Updater oder das Verteilen der Installer-Pakete, gefolgt von einer Versionsprüfung im Fleet. Für den Extended Stable Channel lohnt ein Testdurchlauf: Der Sprung von Chromium 152 auf 156 bringt nicht nur Sicherheitsfixes, sondern auch Verhaltensänderungen mit.
Die fallen gemessen am Patch-Volumen klein aus: Die CSS-Funktion random() ist neu, IndexedDB nutzt für neue Datenspeicher ein SQLite-Backend ohne Änderung der Web-API, ein fehlgeschlagener Modul-Import wird erneut versucht. Dazu kommt ein Windows-Autostart nach dem OS-Login, der sich über die Policy LaunchOnStartupEnabled steuern lässt – für administrierte Umgebungen der relevanteste Punkt. Die Systemanforderungen liegen bei Windows 10 oder neuer und macOS 13 Ventura oder neuer. Eine KI-basierte Medienanalyse über Gemini wird schrittweise ausgerollt und lässt sich in den Einstellungen unter „gemini" konfigurieren.
Der Blick über den Tellerrand gehört an diesem Patchtag dazu: Am selben Tag erschienen Firefox 158.0.1 sowie Thunderbird 158.0.1 und die ESR-Zweige 153.5.1 und 115.43.1. Wer nur Chrome aktualisiert, lässt die zweite Hälfte der Browser-Fläche offen. Und weil die Details der 353 Lücken noch zurückgehalten werden, sollte niemand auf die vollständige Analyse warten: Der Patch ist da, der Rollout läuft, die Ausnutzung ist bisher nicht beobachtet – mehr Sicherheit bekommt man in dieser Woche nicht.