--- title: "Chrome 157.0.8103.50: Google schließt angegriffene XML-Lücke CVE-2026-125350" date: 2026-11-10T19:14:42+01:00 modified: 2026-11-10T19:14:42+01:00 category: sicherheit type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/chrome-157-0-8103-50-zero-day-cve-2026-125350-xml keywords: - Google Chrome - CVE-2026-125350 - Zero-Day - Browser-Sicherheit - Microsoft Edge - Sicherheitsupdate - Chromium reading_time: 3 --- # Chrome 157.0.8103.50: Google schließt angegriffene XML-Lücke CVE-2026-125350 Google hat am 9. November 2026 Chrome 157.0.8103.50/.51 für Windows und macOS sowie 157.0.8103.50 für Linux und Android freigegeben. Das Update schließt neun Sicherheitslücken, darunter CVE-2026-125350, eine als hoch eingestufte Use-after-free-Lücke in der XML-Verarbeitung. Laut Google existiert für diese Lücke bereits ein Exploit in freier Wildbahn. Betroffen sind alle Chrome-Installationen unter Version 157.0.8103.50, auf dem Extended-Stable-Kanal alle Versionen unter 156.0.8078.96. Microsoft Edge für den Desktop hatte beim Abruf der Sicherheitshinweise am 10. November noch keinen Fix, Microsoft arbeitet nach eigener Aussage daran. Weil die Lücke angegriffen wird, gehört das Update nicht ins nächste Wartungsfenster, sondern sollte sofort verteilt werden. ## Was ist passiert? Im Stable-Channel-Update vom 9. November listet Google neun Sicherheitskorrekturen: sieben mit hoher und zwei mit mittlerer Einstufung. Betroffen sind unter anderem WebGL, das Dateisystem-API, das Compositing, die GPU-Komponente, die JavaScript-Engine V8 und zweimal der XML-Code. Zu CVE-2026-125350 schreibt Google, man wisse, dass ein Exploit „in the wild“ existiere. Gemeldet wurde die Lücke am 6. November von einem anonymen Hinweisgeber. Details zum Fehler kann Google zurückhalten, bis die meisten Nutzer aktualisiert haben. Laut BleepingComputer und The Register ist es die achte in Angriffen ausgenutzte Chrome-Lücke des Jahres 2026. Damit liegt 2026 bereits gleichauf mit dem gesamten Jahr 2025. Wer die Lücke ausnutzt und gegen wen, nennt keine der Quellen. Für den Extended-Stable-Kanal hat Google parallel Version 156.0.8078.96 für Windows und macOS veröffentlicht. Diese Version enthält elf Korrekturen, darunter CVE-2026-125350. ## Wer ist betroffen? Betroffen sind Chrome auf Windows, macOS, Linux und Android sowie Chromium-basierte Browser, bis deren Hersteller den Fix übernommen haben. Für Edge vermerkt Microsoft am 9. November in den Sicherheitshinweisen, man kenne die aktuellen Exploits und arbeite an einem Update. Die letzte Edge-Version für den Desktop (Stable 157.0.4341.42) stammt vom 5. November und damit von vor dem Chrome-Fix. Eine CVE-Nummer nennt Microsoft in dem Eintrag nicht, der zeitliche Zusammenhang spricht aber für dieselbe Lücke. ## Wie kritisch ist das? Google stuft CVE-2026-125350 als hoch ein, einen CVSS-Wert gibt es noch nicht. Die NVD führte die Lücke am 10. November noch nicht, im KEV-Katalog der CISA (Stand 9. November) stand sie ebenfalls noch nicht. Use-after-free-Fehler in Browsern dienen typischerweise dazu, über eine präparierte Webseite Code im Renderer-Prozess auszuführen. Für eine vollständige Übernahme des Systems brauchen Angreifer meist eine zweite Lücke, um die Sandbox zu verlassen. Ob das hier der Fall ist, ist nicht bekannt. ## Was sollten Admins jetzt tun? - Inventar: Chrome- und Chromium-Versionen im Bestand auslesen, etwa über Intune, die Chrome-Enterprise-Verwaltung oder die Softwareinventur. - Update: Chrome auf 157.0.8103.50 oder neuer bringen, Extended Stable auf 156.0.8078.96. Google verteilt das Update gestaffelt über Tage bis Wochen, deshalb die Verteilung aktiv anstoßen und einen Neustart des Browsers erzwingen. - Edge: die Sicherheitshinweise von Microsoft beobachten und das Edge-Update sofort verteilen, sobald es erscheint. - Android: Chrome 157.0.8103.50 über Google Play oder die MDM-Lösung ausrollen. - Andere Chromium-Browser wie Brave, Vivaldi oder Opera auf Herstellerupdates prüfen. - Monitoring: Auffällige Browser-Abstürze und ungewöhnliche Kindprozesse von Browsern im EDR beobachten. ## Einordnung für Unternehmen Für die meisten Unternehmen ist der Browser die größte Angriffsfläche am Arbeitsplatz. Acht ausgenutzte Lücken in gut zehn Monaten zeigen, dass ein Update-Takt von mehreren Wochen für Browser nicht reicht. Wer Chrome zentral verwaltet, sollte Richtlinien für einen erzwungenen Neustart nach Updates setzen. Bei Edge bleibt bis zum Fix eine Lücke, die sich nur durch zügiges Verteilen nach Erscheinen schließen lässt. ## Passende Anleitungen auf S-EDV - [Chrome 157 schließt 213 Sicherheitslücken, sieben davon kritisch](https://s-edv.com/news/chrome-157-213-sicherheitsluecken-sieben-kritisch) - [Chrome und Edge 156: 21 Sicherheitslücken geschlossen](https://s-edv.com/news/chrome-edge-156-21-sicherheitsluecken-cve-2026-76024) ## Quellen - [Google: Stable-Channel-Update für Desktop vom 9. November 2026](https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html) - [Google: Extended-Stable-Update vom 9. November 2026](https://chromereleases.googleblog.com/2026/11/extended-stable-update-for-desktop_0910980127.html) - [Google: Chrome 157 für Android](https://chromereleases.googleblog.com/2026/11/chrome-for-android-update_01533302390.html) - [Microsoft: Sicherheitshinweise zu Edge](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security) - [BleepingComputer: Bericht zur achten Chrome-Zero-Day 2026](https://www.bleepingcomputer.com/news/security/google-patches-eighth-chrome-zero-day-exploited-in-attacks-this-year/) - [The Register: Bericht zur Chrome-Lücke](https://www.theregister.com/security/2026/11/10/chrome-zero-day-whack-a-mole-continues-as-2026-tally-hits-8/5308732)