Die Lücke, die Google als mittel einstuft

Am 8. September beförderte Google Chrome 153 in den stabilen Kanal für Windows, Mac und Linux und schloss dabei still CVE-2026-87491, einen Out-of-Bounds-Schreibfehler in V8, der Engine, die jedes Skript auf jeder Seite ausführt, die ein Chrome-Nutzer öffnet. In denselben Versionshinweisen schrieb Googles eigenes Sicherheitsteam den Satz, der eigentlich zählt: "Google ist bekannt, dass ein Exploit für CVE-2026-87491 in freier Wildbahn existiert." Eine speziell präparierte Webseite reicht aus, um ihn auszulösen, und ein erfolgreicher Treffer erlaubt einem Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen.

Schaut man aber in die Schweregrad-Spalte neben der CVE, stuft Chromiums eigener Bug-Tracker sie als mittel ein. Nicht kritisch, nicht einmal hoch. Die Forscherin, die den Fehler fand und meldete, Jihyeon Jeong vom Compsec Lab der Seoul National University, erhielt eine Prämie von 2.500 US-Dollar, eine Belohnung der mittleren Stufe, die zur mittleren Einstufung passt. An der Behebung selbst deutet nichts auf Dringlichkeit hin. An der Art, wie sie ausgenutzt wurde, deutet alles darauf hin.

Warum die CISA anderer Meinung ist

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit CISA bewertet Fehler nicht danach, wie schlimm sie theoretisch sein könnten. Sie führt eine einzige Liste, den Katalog bekannter ausgenutzter Schwachstellen, und das Einzige, was eine CVE auf diese Liste bringt, ist der Nachweis, dass jemand sie bereits gegen reale Ziele einsetzt. CVE-2026-87491 steht jetzt auf dieser Liste, geführt unter Google, Chromium V8, mit einer Behebungsfrist zum 23. September 2026, fünfzehn Tage nachdem der Patch erschien.

Diese Fünfzehn-Tage-Frist ist eine Vorgabe für US-Bundesbehörden der zivilen Exekutive, keine EU-Vorgabe, sie bindet also keinen Servola-Leser direkt. Was sie liefert, ist etwas Nützlicheres als eine gesetzliche Pflicht: ein zweites, unabhängiges Signal, das ausschließlich auf Ausnutzungsnachweisen beruht und nicht auf der eigenen Einstufung eines Herstellers, und es landete bei einer Lücke, die Chromiums eigener Tracker weiterhin als mittel bezeichnet. Wenn beide derart deutlich voneinander abweichen, ist die KEV-Listung diejenige, die widerspiegelt, was gerade tatsächlich im Internet geschieht.

Vier Zero-Days, eine Engine

CVE-2026-87491 ist kein Einzelfall. Es ist die siebte Chrome-Zero-Day-Lücke, die Google 2026 als aktiv ausgenutzt bestätigt hat, und sie kam nur vier Tage nach der sechsten, CVE-2026-85046, einer weiteren V8-Lücke, die am 3. September geschlossen wurde. Vier der sieben in diesem Jahr bestätigten Zero-Days sitzen speziell in V8, der JavaScript- und WebAssembly-Engine, die sich Chrome, Edge, Opera, Brave und jeder andere Chromium-basierte Browser teilen.

Diese Häufung ist kein Zufall dessen, was zufällig dieses Jahr gemeldet wurde. V8 ist eine der am intensivsten gefuzzten, am höchsten belohnten Codebasen im Browser, was bedeutet, dass Angreifer, die dort tatsächlich etwas finden, eine Komponente erhalten, die praktisch auf jedem Desktop und Telefon des Planeten läuft, nicht ein Nischenfeature, das nur ein Bruchteil der Nutzer aktiviert hat. Vier Treffer in einer Engine innerhalb von neun Monaten liest sich weniger nach Pech und mehr danach, dass sich Angreifer darauf festgelegt haben, wo die wertvollste Arbeit liegt.

Was das für ein Sicherheitsteam in der EU bedeutet

Die meisten Schwachstellenmanagement-Programme priorisieren immer noch zuerst nach Hersteller-Schweregrad und erst danach, wenn überhaupt, nach Ausnutzungsstatus. Diese Lücke ist das Argument gegen diese Reihenfolge. Ein Team, das kritische und hohe Einstufungen sofort behebt und mittlere im nächsten Wartungsfenster liegen lässt, hätte CVE-2026-87491 wochenlang offen gelassen, während sie bereits ausgenutzt wurde, weil das Etikett sagte, es könne warten.

Die Behebung selbst kostet über den regulären Patch-Zyklus hinaus nichts: Chrome aktualisiert sich auf den meisten verwalteten und unverwalteten Geräten innerhalb weniger Tage automatisch auf Version 153.0.8010.36 oder höher, und ein Blick auf die Versionsnummer unter den Chrome-Einstellungen bestätigt das. Die dauerhaftere Veränderung ist prozessualer Natur. Die NIS2-Erwartung eines dem Stand der Technik entsprechenden Schwachstellenmanagements lässt sich leichter erfüllen, indem man den CISA-KEV-Feed direkt in eine Patch-Prioritätswarteschlange einspeist, als indem man sich darauf verlässt, dass die eigene Einstufung eines Herstellers jede aktiv ausgenutzte Lücke rechtzeitig erfasst, denn diese hier zeigt, dass diese Einstufung es nicht tut.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es dir heute etwas gebracht hat, sag uns, dass wir weitermachen sollen. Folge uns, hinterlasse ein Like oder schreibe einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, die uns antreiben.

Weiterlesen: Ausgenutzt, Wochen Bevor PaperCut Patchte  |  EU-Sicherheitsteams Ohne Mitspracherecht Bei Astra