SecBoard
Zurück zur Übersicht
Hoch65 / 100Konfidenz: Mittel
In CISA KEVCVSS8.8EPSS14 %Über Netz erreichbarOhne Anmeldung
▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-125350, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046, CVE-2026-87491+25
  • Hoechster CVSS-Basiswert 8.8+16
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-125350, CVSS-Vektor AV:N/PR:N)+10
  • EPSS 13.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+2

Woraus sich die Konfidenz ergibt

  • Zwei unabhaengige Herausgeber berichten den Sachverhalt
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 3 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-2441, CVE-2026-3909, CVE-2026-3910

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026

The Hacker News·
Originalartikel lesen bei The Hacker News

Google hat ein kritisches Sicherheitsupdate für Chrome veröffentlicht, um eine aktiv ausgenutzte Zero-Day-Schwachstelle (CVE-2026-125350) zu beheben. Betroffen sind Nutzer von Chrome und anderen Chromium-basierten Browsern wie Edge, Brave, Opera und Vivaldi. Es wird dringend empfohlen, den Browser umgehend auf die Version 157.0.8103.50/.51 (Windows/macOS) oder 157.0.8103.50 (Linux) zu aktualisieren.

SecBoard-Einordnung

Die aktiv ausgenutzte Zero-Day-Schwachstelle ermöglicht Angreifern potenziell die Ausführung von beliebigem Code oder Datenkorruption, was zu einem erheblichen Sicherheitsrisiko für Endnutzer und Organisationen führt.

Realistisch schlimmster Fall: Im schlimmsten Fall könnte ein Angreifer durch Ausnutzung dieser Schwachstelle beliebigen Code auf dem System des Opfers ausführen, was zu vollständiger Systemkompromittierung, Datenexfiltration oder der Installation weiterer Malware führen kann.

Empfehlung: Alle Nutzer sollten ihre Chrome- und Chromium-basierten Browser umgehend auf die Version 157.0.8103.50/.51 (Windows/macOS) oder 157.0.8103.50 (Linux) aktualisieren.

Im erfassten Bestand

  • ▸CVE-2026-85046 kommt damit in 20 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-5281 stand zum Zeitpunkt dieser Meldung seit 223 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-5281CISA KEV
CVSS
8.8 · HIGH
EPSS
13.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-04-01
Patch
unbekannt
CVE-2026-87491CISA KEV
CVSS
8.8 · HIGH
EPSS
3.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-09
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2026-11645CISA KEV
CVSS
8.8 · HIGH
EPSS
2.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-06-09
Patch
unbekannt
CVE-2026-85046CISA KEV
CVSS
8.8 · HIGH
EPSS
1.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-04
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2026-125350CISA KEV
CVSS
8.8 · HIGH
EPSS
1.0%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-11-10
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2026-2441

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-3909

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-3910

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Nutzer von Google Chrome und anderen Chromium-basierten Browsern wie Edge, Brave, Opera und Vivaldi sind betroffen.

Hersteller

Google

Produkte

ChromiumChromium V8DawnChromeV8
▸ CPE-Rohbezeichner anzeigen (2)
  • cpe:2.3:a:google:chrome:*:*:*:*:*:*:*:*
  • cpe:2.3:a:google:v8:*:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie die installierten Versionen aller Chrome- und Chromium-basierten Browser in Ihrer Organisation.
  • ▸Stellen Sie sicher, dass automatische Updates für Browser aktiviert und erfolgreich durchgeführt werden.
▸ 1 weitere
  • ▸Überwachen Sie Netzwerkverkehr auf ungewöhnliche Aktivitäten, die auf eine Ausnutzung der Schwachstelle hindeuten könnten.

Offene Punkte

3
▸ anzeigen
  • ▸Die spezifischen Details der Ausnutzungsmethode sind im Artikel nicht näher erläutert.
  • ▸Die Identität der Angreifer oder die Motivation hinter den Angriffen ist nicht spezifiziert.
  • ▸Die genaue Anzahl der betroffenen Systeme oder Organisationen ist nicht angegeben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Windows extern erreichbar?

MITRE ATT&CK(1)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1203Exploitation for Client Executionzugeordnet

„aktiv ausgenutzte Zero-Day-Schwachstelle (CVE-2026-125350)“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Multiples vulnérabilités dans Roundcube (10 novembre 2026)
  2. The Hacker NewsKontext
    Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWN

Quelle nicht eingeordnet.

  • Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News