Chrome 157 schließt 213 Sicherheitslücken, sieben davon kritisch
Google hat am 3. November 2026 Chrome 157 für Windows, macOS und Linux veröffentlicht. Die Version schließt 213 Sicherheitslücken, sieben davon kritisch, etwa in Dawn, ANGLE und WebGL. 14 Funde gehen auf Anthropic-Forscher mit Claude zurück. Ausnutzung meldet Google nicht.
Google hat Chrome 157 am 3. November 2026 in den stabilen Kanal gebracht. Die Versionen 157.0.8103.38 für Linux sowie 157.0.8103.38 und .39 für Windows und macOS schließen laut den Release-Notes 213 Sicherheitslücken, sieben davon stuft Google als kritisch ein. Für den Extended-Stable-Kanal unter Windows und macOS erschien am selben Tag Version 156.0.8078.88 mit 55 Sicherheitskorrekturen.
Betroffen sind alle Desktop-Installationen von Chrome, die noch nicht auf diesem Stand sind. Hinweise auf Angriffe nennt Google nicht, ein Notfall wie bei einer ausgenutzten Zero-Day-Lücke ist das also nicht. Wegen der sieben kritischen Speicherfehler sollte das Update aber zügig ausgerollt werden und nicht bis zum nächsten Monatszyklus warten.
Was ist passiert?
Die 213 Korrekturen verteilen sich nach den Angaben im Chrome-Releases-Blog auf 7 kritische, 77 hoch, 75 mittel und 54 niedrig bewertete Lücken. Unter den kritischen sind zwei Pufferüberläufe in Dawn, der WebGPU-Implementierung von Chrome, ein Speicherfehler in der Grafikschicht ANGLE sowie Use-after-free-Fehler in WebGL, Prerender, Geometry und Core. Die höchste ausgewiesene Prämie liegt bei 10.000 US-Dollar, gezahlt für CVE-2026-121156 in Dawn und für die hoch eingestufte Lücke CVE-2026-121107 in BackgroundFetch. Details zu den Fehlern hält Google wie üblich zurück, bis die meisten Nutzer aktualisiert haben.
Auffällig ist die Liste der Melder. 14 Einträge tragen den Zusatz, dass Forscher von Anthropic mit Unterstützung des KI-Modells Claude gearbeitet haben, darunter die kritische Lücke CVE-2026-121035 in Prerender. Sieben Einträge gehen auf OpenAI Codex Security zurück. Den größten Teil, 130 Einträge, hat Google selbst gefunden. Wie stark KI-Werkzeuge die Gesamtzahl treiben, lässt sich aus der Liste allein nicht ablesen.
Für wen ist das relevant?
Relevant ist das Update für alle Firmen, in denen Chrome auf Windows, macOS oder Linux läuft. Die Verteilung startet laut Google gestaffelt über Tage bis Wochen, ein einzelner Rechner hat das Update also nicht zwingend schon. Wer den Extended-Stable-Kanal unter Windows oder macOS nutzt, bleibt auf Version 156 und braucht 156.0.8078.88. Andere Browser auf Chromium-Basis bringen eigene Updates heraus. Ob und wann deren Hersteller die Korrekturen übernehmen, geht aus den Google-Angaben nicht hervor.
Wie kritisch ist das?
Die kritischen Fehler sind Speicherfehler in Komponenten, die Webinhalte verarbeiten. Solche Lücken dienen in der Praxis oft als erster Schritt einer Angriffskette über präparierte Webseiten. CVSS-Werte nennt Google in den Release-Notes nicht, die Einstufung folgt dem eigenen Schema. Laut SecurityWeek erwähnt Google keine Ausnutzung. Das Risiko steigt, sobald die Bug-Details öffentlich werden oder Angreifer die Patches vergleichen.
Was sollten Admins jetzt tun?
- Inventar: Chrome-Versionen über die Verwaltungskonsole, die Softwareverteilung oder
chrome://versionerfassen. - Patchstand: 157.0.8103.38 oder neuer auf allen Clients sicherstellen, im Extended-Stable-Kanal 156.0.8078.88.
- Neustart erzwingen: Chrome übernimmt das Update erst nach einem Neustart des Browsers. Neustart-Richtlinien wie RelaunchNotification helfen, lange offene Browser einzufangen.
- Ausnahmen prüfen: Terminalserver, Kiosk-Rechner und virtuelle Desktops mit eingefrorenen Images gesondert aktualisieren.
- Andere Chromium-Browser im Blick behalten und deren Updates einplanen, sobald sie erscheinen.
Einordnung für Unternehmen
Chrome 157 ist ein Pflicht-Update ohne akuten Alarm. Wer Browser-Updates automatisch verteilt und Neustarts nach wenigen Tagen erzwingt, muss nichts Besonderes tun. Wo Updates manuell laufen oder Nutzer den Browser wochenlang offen lassen, zeigt die Zahl von 213 Korrekturen, wie schnell ein veralteter Browser zur größten Angriffsfläche am Arbeitsplatz wird.
Passende Anleitungen auf S-EDV
- Chrome und Edge 156: 21 Sicherheitslücken geschlossen
- Gruppenrichtlinien (GPO) Grundlagen mit Praxisbeispielen
