CVE-2026-110922: Chrome stopft zehn Lücken

Google hat am 15. Oktober 2026 ein Chrome-Sicherheitsupdate veröffentlicht, das zehn Schwachstellen schließt – eine davon als kritisch eingestuft. Die kritische Lücke trägt die Nummer CVE-2026-110922 und sitzt im Prerender-Feature des Browsers. Betroffen sind Chrome-Installationen auf Windows, Mac und Linux, die korrigierte Version wird mit 155.0.8059.84 beziehungsweise .85 angegeben. Einen Tag später kam eine Zuspitzung dazu: Das Update verhindere eine Remotecodeausführung außerhalb der Sandbox, heißt es in der Meldung zum zweiten Update binnen einer Woche. Eine zweite Quelle für genau diese Aussage gibt es bislang nicht.

CVE-2026-110922: die kritische Use-after-free-Lücke im Prerender-Feature

Die Meldung zum Patch listet zehn Lücken auf: eine kritische, sechs schwerwiegende, drei mittelgradige. Die schwerste davon ist CVE-2026-110922, ein Use-after-free im Prerender-Feature.

Was das technisch heißt: Beim Prerender baut Chrome Seiten im Hintergrund vorab auf, damit sie beim Klick schneller erscheinen. Ein Use-after-free entsteht, wenn ein Programm einen Speicherbereich freigibt und danach weiter darauf zugreift. Füllt ein Angreifer diesen Speicher im Zeitfenster zwischen Freigabe und Zugriff mit eigenen Daten, kann er den Programmablauf beeinflussen. Als mögliche Folgen nennt die Quelle Abstürze oder die Übernahme des Systems.

Beim Ausnutzungsstatus ist Vorsicht angebracht: Google hat laut dieser Meldung keine Hinweise auf eine aktive Ausnutzung veröffentlicht. Das ist eine Aussage über den Kenntnisstand – keine Entwarnung. Wer daraus „nicht ausgenutzt" liest, überdehnt die Quelle.

Chrome 155.0.8059.84: Version, Plattformen und Rollout

Die korrigierte Fassung trägt die Nummer 155.0.8059.84 beziehungsweise .85. Chrome-Updates werden schrittweise über Tage und Wochen verteilt, eine einzelne Installation kann also kurzfristig noch auf dem alten Stand sein – ein Punkt, der in betreuten Umgebungen eine Versionsprüfung sinnvoll macht statt einer Annahme.

Betroffen sind nach aktuellem Stand alle drei Desktop-Plattformen: Windows, Mac und Linux. Eine CVSS-Bewertung nennen die verfügbaren Quellen nicht, ebenso wenig die Zahl der betroffenen Nutzer. Ein Workaround wird ebenfalls nicht beschrieben, das Update bleibt damit die einzige dokumentierte Maßnahme.

Auffällig ist die Belegkette: Ein offizieller Release-Post aus dem Chrome-Releases-Blog liegt in den vorliegenden Quellen nicht vor. Versionsnummer, Lückenzahl und CVE-Liste sind damit nicht gegen Googles Primärquelle abgesichert. Wer die Angaben für ein internes Advisory braucht, sollte diesen Abgleich nachholen, bevor Zahlen weitergereicht werden.

Sandbox-Ausbruch: eine Behauptung ohne Zweitquelle

Die Sandbox ist die Schutzschicht, die Web-Inhalte vom restlichen System trennt. Eine Remotecodeausführung außerhalb dieser Grenze wäre die schwerste Klasse von Browser-Schwachstelle: Der Angriff endet dann nicht im abgeschotteten Renderer, sondern erreicht die Ebene des Browser-Prozesses.

Diese Einordnung findet sich nur in einer der beiden vorliegenden Meldungen. Die andere beschreibt den kritischen Fehler als Use-after-free im Prerender-Feature, also eine andere Schwachstellenklasse. Ein Speicherfehler dieser Art tritt typischerweise innerhalb der Renderer-Sandbox auf; ob ein konkreter Exploit sie verlässt, hängt vom Angriffspfad ab, den keine der Quellen beschreibt. Das ist eine technische Einordnung, keine Bestätigung – und es spricht einiges dafür, dass hier zwei verschiedene Aussagen über dasselbe Update zusammengezogen wurden.

Auch die Formulierung „zweites Update in einer Woche" stammt aus der Überschrift einer einzelnen Meldung. Keine der übrigen Quellen beschreibt ein weiteres Chrome-Update in derselben Woche.

Dass Sandbox-Ausbrüche in Chrome-basierten KI-Browsern ein reales Thema sind, ist separat dokumentiert: Forschung von Zenity Labs, vorgestellt auf der Black Hat USA 2026, zeigt, wie sich KI-Browser mit präparierten Alltagsinhalten kapern lassen, inklusive Zugriff auf den localhost-Bereich und Reverse Shells. Diese Forschung betrifft KI-Browser-Features – nicht den Patch vom 15. Oktober 2026. Als Begriffseinordnung taugt sie, als Beleg nicht.

KI-Fund, Anthropic und die Frage nach dem Melder

Eine weitere Lücke im selben Update, CVE-2026-110913 im DOM-Bereich, wurde laut der Patch-Meldung von Forscher Xinyang Ge „mit Unterstützung der KI Claude von Anthropic" entdeckt. Das ist der einzige belegte KI-Bezug in dieser Patch-Runde – und er ist präzise zu lesen: Ein Mensch hat die Schwachstelle gefunden, ein KI-System hat dabei unterstützt.

Davon zu trennen ist die Angabe, ein Mitarbeiter von Anthropic habe die kritische Lücke gemeldet. Ob Xinyang Ge bei Anthropic angestellt ist, geht aus keiner der vorliegenden Quellen hervor. Die beiden Aussagen können dasselbe meinen, müssen es aber nicht. Wer aus dem Arbeitgeber des Melders auf die Methode schließt, ergänzt eine Information, die in der Quelle fehlt.

Der Hintergrund macht die Nähe von Anthropic und Browser-Sicherheit allerdings plausibel: Bei „Claude in Chrome" musste der Anbieter im Mai einen Patch auf Version 1.0.70 nachschieben, nachdem eine dokumentierte Schwachstellenkette bereits drei Stunden später wieder umgangen war. Das zeigt, wie kurz die Halbwertszeit von Browser-Fixes in diesem Umfeld sein kann. Über den Chrome-Patch sagt es nichts.

Widerspruch bei Lückenzahl und Entwicklerzweig

Ein älterer Beitrag zur Chrome-Patchlage nennt 29 geschlossene Lücken und eine Aktualisierung im „146er-Entwicklerzweig". Zehn Lücken und Version 155.0.8059.84/.85 passen dazu nicht. Ohne Datumsangabe in diesem Beitrag lässt sich nicht entscheiden, ob es sich um zwei verschiedene Patch-Runden handelt oder eine der beiden Angaben unzutreffend ist. Bis zur Klärung sollten beide Zahlen nicht vermischt werden.

Fazit: Update installieren, Version prüfen, Einzelquellen kennzeichnen

Belegt sind ein Update vom 15. Oktober 2026, zehn geschlossene Lücken, eine kritische Use-after-free-Schwachstelle im Prerender-Feature und die korrigierte Version 155.0.8059.84/.85. Nicht belegt sind ein Sandbox-Ausbruch, das „zweite Update in einer Woche" und die Anthropic-Zuordnung des Melders.

Praktisch ändert das an der Empfehlung nichts: Chrome aktualisieren, Browser neu starten, installierte Version prüfen. Ein laufender Browser übernimmt das Update erst nach dem Neustart; in verwalteten Umgebungen lohnt der Blick, ob Nutzer ohne Admin-Rechte den Neustart selbst auslösen können. Wer Chrome für Fachanwendungen einfriert, sollte für dieses Update eine Ausnahme prüfen – einen Workaround gibt es nicht.

Quellen