Chrome 157: Handlungsempfehlungen für kritische Sicherheitslücken

Warum dieses Chrome-Update dringend apply muss

Google hat am 3. November 2026 Chrome 157 freigegeben und damit 213 Sicherheitslücken behoben – darunter sieben als kritisch eingestufte Schwachstellen. Eine davon, CVE-2026-34589, ermöglicht einen Zero-Click-Exploit: Ein Angreifer kann durch eine manipulierte Webseite oder einen bösartigen PDF-Download ohne Nutzerinteraktion Code im Vollzentrum des Browsers ausführen. Für Unternehmen mit verbreiteten Chrome-Installationen in der Domäne stellt das ein explosionsförmiges Risiko dar. Betriebsinterne Systeme mit veralteten Chrome-Versionen sind ein ideales Sprungbrett für lateralen Zugriff auf das Netzwerk.

Kritische Lücken im Überblick

• CVE-2026-34589 (kritisch): Use-After-Free im V8-JavaScript-Engine. Zero-Click-Exploit möglich über bösartige Websites oder PDF-Dateien.
• CVE-2026-34591 (kritisch): Type-Promotion-Fehler beim Handling von ArrayBuffer. Erfasst Daten aus dem Speicher anderer Prozesse (Cross-Origin reads).
• CVE-2026-34593 (kritisch): Use-After-Free in WebRTC-Implementation. Remote-Code-Ausführungsmöglichkeit über Videoanrufe.
• CVE-2026-34587 (hoch): Information Disclosure über Signed Extensions-IDs. Erlaubt Fingerprinting installierter Browser-Erweiterungen.
• CVE-2026-34585, CVE-2026-34586 und CVE-2026-34590: Weitere Use-After-Free-Schwachstellen in Rendering- und Netzwerk-Komponenten.

1. Sofortige Deployment-Strategie

Für Unternehmen empfiehlt sich ein zentrales Update über Chrome Enterprise. Die Richtlinien UpdatePolicy und AutoUpdateCheckPeriodMinutes aktivieren automatisierte Updates. Alternativ kann Chrome Flag InstallationMode auf "ForceInstall&quot> gesetzt werden.

# Via Intune oder Group Policy
# Computer Configuration → Admin Templates → Google → Google Update
# UpdatePolicy = 1 (auto), AutoUpdateCheckPeriodMinutes = 180

2. Zero-Day-Erweiterungen deaktivieren

Browser-Erweiterungen sind ein Risiko: Während Chrome selbst gepatcht wurde, kann ein veralteter Extension-Ausnutzer weiterhin agieren. Die Richtlinie ExtensionInstallWhitelist deaktiviert nicht-vertrauenswürdige Extensions.

# GPO: Computer Configuration → Admin Templates → Google Chrome → Extensions
# "Configure extension install whitelist" aktivieren

3. Safe Browsing und Site Isolation prüfen

Chromiums Site Isolation schützt vor Cross-Origin-Datenzugriff. Stellen Sie sicher, dass SafeBrowsingEnabled und SitePerProcess auf true gesetzt sind.

# chrome://policy → SafeBrowsingEnabled = true
# chrome://policy → SitePerProcess = true

4. Phishing- und Social-Engineering-Schutz verstärken

Die kritischen Schwachstellen ermöglichen Spoofing über manipulierte PDF-Dateien. Ergänzen Sie den Schutz durch erweiterte URL-Darstellung (chrome://flags/#clickless-protocols-display) und Sandbox-Modus für Downloads.

5. Was tun, wenn ein kompromittierter Browser entdeckt wurde

1. Isoliere: Netzwerk trennen, chrome.exe beenden.
2. Downloads prüfen: %LOCALAPPDATA%GoogleChromeUser DataDefaultDownloads
3. Extensions deaktivieren: chrome://extensions → Alle deaktivieren.
4. Passwörter ändern: Chrome Sync deaktivieren, neue Authentifizierung.
5. Scan durchführen: Virenscanner und Anti-Malware-Tool einsetzen.

Empfehlung für die nächsten 30 Tage

Setzen Sie eine wöchentliche Prüfung der Chrome-Version in Ihrer IT-Strategie durch. Abonnieren Sie den Chrome Releases Blog. Dokumentieren Sie jede kritische Version und planen Sie einen Notfall-Rollback-Test ein.

Quellen

• Google Chrome Security (abgerufen 2026-11-05)
• Chrome Stable Channel Update 157 (Google Blog, 6. November 2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.