SecBoard
Zurück zur Übersicht
Hoch64 / 100Konfidenz: Hoch
In CISA KEVCVSS8.8EPSS5 %Über Netz erreichbarOhne Anmeldung

Alle Google Chrome Browser in der Organisation müssen umgehend auf Version 152.0.7977.82 oder höher aktualisiert werden.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-85046, CVE-2026-5281, CVE-2026-11645+25
  • Hoechster CVSS-Basiswert 8.8+16
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-85046, CVSS-Vektor AV:N/PR:N)+10
  • EPSS 4.9 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1

Woraus sich die Konfidenz ergibt

  • 3 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 3 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-2441, CVE-2026-3909, CVE-2026-3910

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day

The Hacker News·
Originalartikel lesen bei The Hacker News

Google hat ein kritisches Sicherheitsupdate für Chrome veröffentlicht, um eine aktiv ausgenutzte Zero-Day-Schwachstelle (CVE-2026-85046) im V8-Engine zu beheben. Nutzer sind dringend aufgerufen, ihren Browser umgehend auf Version 152.0.7977.82 oder höher zu aktualisieren, um sich vor potenziellen Angriffen zu schützen.

SecBoard-Einordnung

Die Schwachstelle wird aktiv ausgenutzt, was bedeutet, dass Angreifer bereits Wege gefunden haben, sie für bösartige Zwecke zu nutzen. Eine Nicht-Aktualisierung lässt Organisationen anfällig für Drive-by-Downloads oder andere clientseitige Angriffe.

Realistisch schlimmster Fall: Ein Angreifer könnte die Schwachstelle ausnutzen, um beliebigen Code auf dem System des Nutzers auszuführen, was zu einer vollständigen Kompromittierung des Browsers und potenziell des Endgeräts führen könnte.

Im erfassten Bestand

  • ▸CVE-2026-11645 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-5281 stand zum Zeitpunkt dieser Meldung seit 156 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-5281CISA KEV
CVSS
8.8 · HIGH
EPSS
4.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-04-01
Patch
unbekannt
CVE-2026-11645CISA KEV
CVSS
8.8 · HIGH
EPSS
2.2%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-06-09
Patch
unbekannt
CVE-2026-85046CISA KEV
CVSS
8.8 · HIGH
EPSS
1.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-04
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2026-2441

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-3909

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-3910

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Alle Nutzer des Google Chrome Browsers sind betroffen.

Hersteller

Google

Produkte

Chromium V8DawnChromeV8
▸ CPE-Rohbezeichner anzeigen (2)
  • cpe:2.3:a:google:chrome:*:*:*:*:*:*:*:*
  • cpe:2.3:a:google:v8:*:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie die Chrome-Versionen auf allen Endgeräten in Ihrer Organisation, um sicherzustellen, dass sie auf 152.0.7977.82 oder höher aktualisiert wurden.
  • ▸Stellen Sie sicher, dass automatische Updates für Chrome aktiviert sind und ordnungsgemäß funktionieren.
▸ 1 weitere
  • ▸Überwachen Sie Netzwerk- und Endpunkt-Logs auf ungewöhnliche Aktivitäten oder Verbindungen, die auf eine Kompromittierung hindeuten könnten, insbesondere von Systemen, die möglicherweise nicht rechtzeitig aktualisiert wurden.

Offene Punkte

3
▸ anzeigen
  • ▸Die spezifischen Angriffsvektoren oder die Art der aktiven Ausnutzung werden im Artikel nicht näher erläutert.
  • ▸Die Identität der Angreifer oder deren Motivation wird nicht genannt.
  • ▸Die genauen Auswirkungen einer erfolgreichen Ausnutzung über die Codeausführung hinaus werden nicht detailliert beschrieben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Windows extern erreichbar?

MITRE ATT&CK(1)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1203Exploitation for Client Executionzugeordnet

„aktiv ausgenutzte Zero-Day-Schwachstelle (CVE-2026-85046) im V8-Engine zu beheben.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Multiples vulnérabilités dans SPIP (01 septembre 2026)
  2. The Hacker NewsKontext
    Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day
  3. CISA Current ActivityPrimärbeleg
    CISA Adds One Known Exploited Vulnerability to Catalog

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 3 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWN

Quelle nicht eingeordnet.

  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News