Die Schwachstelle CVE-2026-85046 ermöglicht entfernten Angreifern die Ausführung von beliebigem Programmcode innerhalb der Sandbox aller Chromium-basierten Browser über manipulierte Webseiten. Die Verwundbarkeit wird aktiv im Feld ausgenutzt und ist im KEV-Katalog der US-Cybersicherheitsbehörde CISA gelistet. Google hat die Sicherheitslücke mit dem Desktop-Release 152.0.7977.83 geschlossen und dem meldenden Sicherheitsforscher ein Bug-Bounty-Honorar von 1.000 US-Dollar gezahlt.
Wichtigste Punkte
CVE-2026-85046: Ermöglicht Remote Code Execution (RCE) innerhalb des isolierten Browser-Renderer-Prozesses (Sandbox) in allen Chromium-Versionen via manipulierter HTML-Inhalte.
Aktive Ausnutzung ("In the Wild"): Bestätigte Angriffe führten zur Aufnahme der Schwachstelle in den Known Exploited Vulnerabilities (KEV)-Katalog der CISA.
Sicherheits-Patch: Geschlossen und behoben in Google Chrome Version 152.0.7977.83 für Desktop-Systeme.
Prämienhöhe: Google vergütete die verantwortungsvolle Offenlegung (Responsible Disclosure) mit einer Prämie von 1.000 USD.
CVSS-Bewertung: Einstufung mit einem Schweregrad-Score von 8.8 aufgrund der erforderlichen Benutzerinteraktion (Aufrufen einer präparierten Webseite).
Diskussions-Highlights
Diskrepanz bei Bug-Bounty-Vergütungen: Die Prämie von 1.000 USD wurde vielfach als gravierende Unterbewertung für eine aktiv ausgenutzte 0-Day-Schwachstelle kritisiert, was finanzielle Fehlanreize gegenüber dem Graumarkt oder staatlichen Akteuren schaffe.
Ökonomie von Exploit-Ketten: Mehrere Teilnehmer argumentierten, dass isolierte Sandbox-RCEs ohne integrierten Sandbox-Escape auf dem Exploit-Markt geringer gehandelt werden, da Broker primär voll funktionsfähige Komplettsysteme (Full-Chain Enablement Kits) ankaufen.
Bedrohungspotenzial ohne Sandbox-Escape: Es wurde debattiert, dass Angreifer ohne zusätzlichen Kernel- oder Sandbox-Escape auf den Renderer-Prozess beschränkt bleiben; die reale Ausnutzung deutet jedoch potenziell auf bestehende, unveröffentlichte Exploit-Ketten hin.
Downstream-Auswirkungen & Patch-Zyklen: Betroffen sind sämtliche Chromium-Derivate (Microsoft Edge, Brave, GrapheneOS Vanadium). Diskutiert wurden Unterschiede in der Bereitstellungsgeschwindigkeit von Updates (z. B. Brave Nightly vs. Vanadium).
JIT-Komplexität und Speichersicherheit: Grundsätzliche Kritik an der Fehleranfälligkeit hochkomplexer JavaScript-Engines (wie V8-Typverwechslungen). Als Gegenentwürfe wurden speichersichere Ansätze wie WebKit MiniBrowser kompiliert mit Fil-C (filcc) sowie alternative Projekte wie der Northstar-Browser angeführt.
Glossar
RCE (Remote Code Execution): Eine Sicherheitslücke, die es Angreifern erlaubt, beliebigen Programmcode aus der Ferne über ein Netzwerk auf dem Zielsystem auszuführen.
Sandbox: Eine isolierte Sicherheitsumgebung, die den Zugriff eines Programms auf das zugrundeliegende Betriebssystem, Dateien und Netzwerkschnittstellen stark einschränkt.
Sandbox Escape: Das Überwinden der Schutzgrenzen einer Sandbox, um unbeschränkten Zugriff auf das Host-Betriebssystem zu erlangen.
CVE (Common Vulnerabilities and Exposures): Ein standardisiertes Identifikationssystem zur eindeutigen Benennung bekannter Softwaresicherheitslücken.
CVSS (Common Vulnerability Scoring System): Ein Industriestandard zur numerischen Bewertung (0 bis 10) des Schweregrads und Risikos von Sicherheitslücken.
CISA KEV (Known Exploited Vulnerabilities Catalog): Eine von der US-Behörde CISA geführte Liste über Sicherheitslücken, für die reale Angriffe nachgewiesen wurden.
V8: Die Open-Source-JavaScript- und WebAssembly-Engine von Google, die in Chromium-basierten Browsern und Node.js eingesetzt wird.
JIT-Compiler (Just-In-Time): Ein Laufzeitkompilierer, der Programmcode zur Ausführungszeit direkt in Maschinensprache übersetzt, um die Ausführungsgeschwindigkeit zu maximieren.
Type Confusion (Typverwechslung): Ein Speicherfehler, bei dem Daten eines Objekttyps fälschlicherweise als ein inkompatibler Typ verarbeitet werden, was zu unbefugtem Speicherzugriff führen kann.
Fil-C (filcc): Ein Compiler- und Laufzeitsystem, das Speichersicherheit (Memory Safety) für Programme in C und C++ zur Laufzeit erzwingt.