Chrome CVE-2026-87491: die Lücke zwischen installiertem Update und Browser-Neustart schliessen

Worum es geht

Stand: 25. Oktober 2026. Googles Meldung zum Desktop-Release vom 8. September 2026 führt CVE-2026-87491 auf, einen Schreibzugriff ausserhalb der Speichergrenzen in V8, und bestätigt die Ausnutzung bei realen Angriffen. Die Sicherheitsversionen sind 153.0.8010.36 für Linux und 153.0.8010.36/.37 für Windows und Mac. Dies sind die dokumentierten Versionen zur Behebung, keine Aussage über den neuesten verfügbaren Browser. Vor dem Deployment spätere Stable-Meldungen und die Dokumentation der Unternehmensrichtlinien erneut prüfen; die zitierte Meldung hat kein separat sichtbares Überarbeitungsdatum.

Warum es wichtig ist

Googles Update-Dokumentation unterscheidet zwischen dem Herunterladen eines Updates und dessen Aktivierung durch einen Browser-Neustart. Ein Gerätebestand kann das Paket daher bereits erhalten haben, während Benutzer weiterhin mit einem älteren Prozess im Web arbeiten. Googles Einstellung für einen empfohlenen Neustart erlaubt es Benutzern, die Aufforderung zu schliessen und diese alte Version weiterzuverwenden. Ein verpflichtender Neustart schliesst diese betriebliche Lücke.

Im Folgenden wird ein Ablauf für den belegten Abschluss der Behebung vorgeschlagen. Als Nachweise dienen die im Browser angezeigte Version, die wirksamen Richtlinien und das Ergebnis des Neustarts; aus einer Versionsnummer oder einem Browser-Absturz wird keine Kompromittierung abgeleitet.

So wird es angewendet

• Den tatsächlich verwendeten Browser ermitteln. Betriebssystem, Release-Kanal und die unter Hilfe > Über Google Chrome angezeigte Version erfassen. Mit dem zutreffenden Hersteller-Release vergleichen und anschliessend eine aktuelle, unterstützte Sicherheitsbasis wählen. Die Linux-Versionsnummer getrennt vom Windows/Mac-Versionspaar behandeln.
• Die Verteilung ermöglichen. Auf verwalteten Windows-Geräten Google Update > Applications und die Anwendungsrichtlinie für Google Chrome prüfen. Die Überschreibung der Update-Richtlinie aktivieren und Updates zulassen. Prüfen, ob eine Bindung an eine Zielversion das Erreichen der Sicherheitsbasis verhindert. Google weist darauf hin, dass solche Bindungen nur vorübergehend gelten sollten. Unter Linux müssen Administratoren Browser-Updates über den Paketmanager verteilen.
• Die Aktivierung vorschreiben. RelaunchNotification mit dem Wert 2 auf verpflichtend setzen und RelaunchNotificationPeriod auf die von der Organisation freigegebene Frist in Millisekunden einstellen. RelaunchWindow zusammen mit dieser Frist prüfen: Ein geplantes Zeitfenster kann den Abschluss verzögern. Benutzer benachrichtigen, damit sie vor der Durchsetzung ungespeicherte Arbeiten sichern können.
• Die wirksame Konfiguration überprüfen. Nach dem Verteilen der Richtlinien und dem Neustart chrome://policy öffnen, Richtlinien neu laden wählen und RelaunchNotification, RelaunchNotificationPeriod sowie RelaunchWindow prüfen. Google verlangt den Status OK und Werte, die der beabsichtigten Richtlinie entsprechen. Überschreibungen untersuchen, statt anzunehmen, dass die Verwaltungskonsole den Zustand des Endgeräts wiedergibt.
• Mit Laufzeitnachweisen abschliessen. Nach dem Neustart erneut Über Google Chrome aufrufen und die angezeigte Version erfassen. Geräte mit fehlgeschlagenen Downloads, ausstehenden Neustarts oder fehlenden Bestandsdaten als ungeklärte Ausnahmen offenhalten. Für jede Ausnahme eine verantwortliche Person und die nächste Massnahme zur Behebung festhalten.

Stolpersteine

Eine Neustartbenachrichtigung ist kein Beleg dafür, dass der Neustart stattgefunden hat. Google weist ausserdem darauf hin, dass Windows-Computerrichtlinien eine Domänenmitgliedschaft oder Geräteverwaltung voraussetzen. Eine konfigurierte Richtlinie auf einem unverwalteten Rechner ist kein ausreichender Nachweis. Die Versionsnummern vom September kennzeichnen die damaligen Mindestversionen mit der Korrektur und erlauben nicht, unbegrenzt auf diesem Stand zu bleiben. Dieser Artikel macht keine Aussage darüber, die wievielte Zero-Day-Schwachstelle des Jahres dies ist. Zur Überprüfung des Deployments muss kein Exploit reproduziert werden.