Aktiv ausgenutzte V8-Lücke bedroht jede Chromium-App und jedes Electron-Tool

Google hat CVE-2026-85046, einen Type-Confusion-Fehler in der V8-JavaScript- und WebAssembly-Engine, mit dem Chrome-Stable-Update vom 3. September 2026 geschlossen und Chrome auf Version 152.0.7977.82 gebracht. Die Lücke hat einen CVSS-Basiswert von 8.8, betrifft alle früheren Chrome-Versionen, und Google bestätigte am selben Tag aktive Ausnutzung. Die CISA nahm die Schwachstelle am 4. September in ihren Katalog aktiv ausgenutzter Schwachstellen auf und setzte Bundesbehörden eine Frist bis zum 18. September.

Der Sicherheitsforscher Salvatore Gulizia, der unter dem Namen Serotav veröffentlicht, meldete den Fehler am 4. August 2026 und erhielt dafür eine Prämie von 1.000 US-Dollar. Es ist der sechste aktiv ausgenutzte Chrome-Zero-Day des Jahres 2026, nach CVE-2026-11645, CVE-2026-2441, CVE-2026-3909, CVE-2026-3910 und CVE-2026-5281.

Der als CWE-843 eingestufte Fehler lässt V8 Array-Repräsentationen verwechseln: Ein Array mit PACKED_ELEMENTS kann fälschlich die Map PACKED_SMI_ELEMENTS erhalten. Aus diesem Fehler lässt sich beliebiger Lese- und Schreibzugriff auf den JavaScript-Heap ableiten, ausgelöst allein dadurch, dass ein Opfer eine präparierte HTML-Seite lädt. Es sind keine vorherigen Rechte nötig, der Code läuft aber im gesandboxten Renderer-Prozess von Chrome, sodass eine vollständige Systemübernahme zusätzlich einen separaten Sandbox-Escape erfordern würde.

Da V8 jeden Chromium-basierten Browser sowie Electron antreibt, reicht die Angriffsfläche weit über das normale Surfen hinaus. Electron-Apps wie Slack, Discord, VS Code, Figma, Notion und Tidal bringen ihr eigenes gebündeltes Chromium mit und erhalten den Fix erst, wenn Electron aktualisiert und die jeweilige App neu gebaut wird. Headless-Chrome-Instanzen, die von Puppeteer oder Playwright für Scraping, Tests und CI-Pipelines gesteuert werden, tragen dasselbe Risiko und hinken dem offiziellen Chrome-Patch oft um Tage, Wochen oder Monate hinterher.