Chrome 154 ist ein Sicherheitsupdate, das 108 Schwachstellen behebt, darunter elf kritische. Laut PCWorld haben Angreifer bisher keine der behobenen Schwachstellen in realen Angriffen ausgenutzt.
Sicherheitsupdate Chrome 154
Die neuen Versionen tragen die Bezeichnung 154.0.8037.57/58 für Windows und macOS sowie 154.0.8037.57 für Linux. Neben den Sicherheitskorrekturen bringt Chrome 154 keine neuen Funktionen, berichtet PCWorld. Laut demselben Server hat Google 76 Schwachstellen selbst entdeckt, während die verbleibenden 32 von externen Forschern gemeldet wurden. Diese haben bisher insgesamt 18.000 Dollar an Prämien erhalten. Der Server SecurityWeek weist darauf hin, dass der endgültige Betrag höher sein könnte, da über die Prämien für die meisten extern gemeldeten Schwachstellen noch nicht entschieden wurde.
Kritische Fehler in ANGLE und anderen Komponenten
Drei der kritischen Schwachstellen sind Pufferüberläufe in der Grafikbibliothek ANGLE für WebGL. Dies bestätigen die Server CybersecurityNews, GBHackers, SecurityWeek und PCWorld. Unter den kritischen Fehlern sind laut CybersecurityNews und SecurityWeek auch use-after-free-Fehler in den Komponenten ServiceWorker, Fullscreen, WindowDialog und AdFilter.
Der schwerwiegendste behobene Fehler ist laut CybersecurityNews CVE-2026-95350, ein Pufferüberlauf in ANGLE. Gemeldet wurde er von Billy Jheng Bing Jhong, Muhammad Alifa Ramdhan und Pan Zhenpeng von STAR Labs SG Pte. Ltd., und die Prämie dafür betrug 5.000 Dollar. Im JavaScript-Engine V8 hat Google type confusion-Fehler und Schreibzugriffe außerhalb der Array-Grenzen behoben. Die Schwachstelle CVE-2026-95306 wurde laut CybersecurityNews und GBHackers von OpenAI Codex Security gemeldet.
Verteilung nach Schweregrad
- 11 kritische Schwachstellen
- 25 hochriskante
- 47 mittelriskante
- 25 niedrigriskante
Laut PCWorld überwiegen bei den Behebungen die use-after-free-Fehler (34), gefolgt von 12 Fällen falscher Darstellungen in der Benutzeroberfläche, 12 Fehlern bei der Berechtigungsüberprüfung und 11 fehlenden Berechtigungen. SecurityWeek berichtete, dass neun kritische Fehler von externen Forschern gemeldet wurden. GBHackers erwähnte die Tools, die Google bei der Suche nach Schwachstellen unterstützen: AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer und AFL.
Mobile Version und Chrome 155
Google hat diese Woche auch Chrome für Android in der Version 154.0.8037.57 und Chrome für iOS in der Version 154.0.8037.55 veröffentlicht. Die Android-Version behebt dieselben Schwachstellen wie die Desktop-Version. Der Extended Stable-Kanal für Windows und macOS enthält jetzt Chromium 152.0.7977.140, und Chrome 155 soll in etwa zwei Wochen erscheinen. Laut CybersecurityNews und GBHackers schränkt Google den Zugang zu Details über einige Fehler ein, bis die Mehrheit der Nutzer das Update installiert hat. In einem Blogbeitrag von Chrome Releases listet Srinivas Sista alle 108 behobenen Schwachstellen auf und gibt an, dass 76 davon von Google selbst entdeckt wurden, schrieb PCWorld.