Chrome und Edge: Update schließt bereits ausgenutzte Lücke

Chrome aktualisiert sich still im Hintergrund, so weit stimmt der Ruf. Laut Googles eigener Hilfe greift ein Update aber erst, wenn du den Browser schließt und wieder öffnest. Wer Chrome tagelang offen lässt, surft also unter Umständen mit einer Version, die eine bereits angegriffene Lücke enthält. Genau diese Lage gilt seit dem 9. November 2026.

Sicherheitslücke in Chrome: was Google, CISA und BSI melden

Innerhalb von vier Tagen haben drei Stellen zu derselben Browser-Version Stellung genommen:

• 9. November: Google verteilt Chrome 157.0.8103.50 (Linux) beziehungsweise 157.0.8103.50/.51 (Windows, Mac) und schließt damit unter anderem CVE-2026-125350, einen Speicherfehler (use after free) in der XML-Komponente. Google schreibt, ihm sei bekannt, dass ein Exploit für diese Lücke „in the wild“ existiert, also bereits eingesetzt wird.
• 10. November: Die US-Cybersicherheitsbehörde CISA nimmt die Lücke in ihren Katalog ausgenutzter Schwachstellen auf. Danach kann eine präparierte Webseite Code innerhalb der Sandbox des Browsers ausführen. Betroffen sein können laut CISA auch andere Browser auf Chromium-Basis, ausdrücklich genannt sind Microsoft Edge und Opera.
• 11. November: Google veröffentlicht Chrome 157.0.8103.78/.79 mit 83 Sicherheitskorrekturen, fünf davon stuft Google als kritisch ein. Die Android-Version 157.0.8103.78 enthält dieselben Korrekturen.
• 12. November: Das BürgerCERT des BSI warnt vor Chrome-Versionen unter 157.0.8103.78 und bewertet das Risiko als hoch. Für einen Angriff genügt es laut BSI, eine bösartige Webseite zu laden oder einen Link dorthin anzuklicken.

Was die Quellen nicht sagen: Google hält die Details nach eigener Angabe zurück, bis die Mehrheit der Nutzenden das Update installiert hat. Wer die Lücke ausnutzt, gegen wen und ob die Angreifer zusätzlich aus der Sandbox ausbrechen, die den Browser vom übrigen System abschottet, hat weder Google noch die CISA veröffentlicht. Die Versionen gelten in Deutschland, Österreich und der Schweiz gleich.

Welche Version du jetzt brauchst

So aktualisierst du Chrome und Edge

Chrome am Computer, nach der Hilfe von Google:

1. Klicke oben rechts auf das Dreipunkt-Menü und dann auf „Hilfe“ › „Über Google Chrome“. Chrome sucht dabei nach Updates und zeigt die Versionsnummer unter der Überschrift „Google Chrome“.
2. Wähle „Neu starten“. Offene Tabs und Fenster öffnet Chrome danach wieder, Inkognitofenster nicht.
3. Erscheint „Neu starten“ nicht, ist die aktuelle Version bereits installiert.

Chrome auf Android: Öffne die Play Store App, tippe oben rechts auf dein Profilsymbol, dann auf „Apps und Gerät verwalten“. Steht Chrome unter „Updates verfügbar“, tippe daneben auf „Aktualisieren“. Bietet der Play Store das Update noch nicht an, schau in ein bis zwei Tagen wieder nach.

Edge am Computer: Gib in die Adresszeile edge://settings/help ein. Edge sucht dann nach Updates, installiert sie und verlangt anschließend einen Neustart des Browsers.

Im Büro: wenn die IT die Updates steuert

Auf Firmenrechnern legt oft die IT fest, wann Browser-Updates kommen. Meldet Chrome, dass Updates von einem Administrator verwaltet werden, ist die richtige Anlaufstelle die IT oder der Dienstleister. Für kleine Teams ohne eigene IT reichen drei Entscheidungen, die nichts kosten: heute auf jedem Rechner die Version prüfen, den Browser zum Feierabend schließen statt nur den Deckel zuzuklappen, und einmal aufschreiben, welche Chromium-Browser auf welchem Gerät laufen.

Was du jetzt tun kannst

1. Prüfe in Chrome unter „Hilfe“ › „Über Google Chrome“ die Version und starte neu, falls angeboten.
2. Aktualisiere Chrome auf deinem Android-Smartphone über den Play Store.
3. Prüfe auch Edge, Opera, Brave oder Vivaldi, wenn du sie nutzt.
4. Installiere Browser-Updates nur über das Menü des Browsers oder den App-Store. Eine Webseite, die dich per Pop-up zu einem „dringenden Update“ drängt, ist ein Warnsignal. Wie solche falschen Warnmeldungen arbeiten, zeigt unser Ratgeber über falschen Technik-Support.