108 CVE-⁠Kennungen für Chrome und Edge – Versionen jetzt abgleichen

Das CERT-⁠Bund-⁠Advisory WID-⁠SEC-⁠2026-⁠3514 bündelt 108 CVE-⁠Kennungen zu Google Chrome und Microsoft Edge; die möglichen Folgen reichen von Codeausführung bis zu Denial of Service. Die Meldung ist als hoch und remote ausnutzbar eingestuft. Prüfen Sie deshalb die Browserstände in der gesamten verwalteten Umgebung, nicht nur auf einzelnen Arbeitsplätzen.

Das Advisory bündelt unterschiedliche mögliche Folgen

Die Beschreibung nennt mehrere Arten möglicher Auswirkungen: Angreifer könnten beliebigen Code ausführen, Sicherheitsmaßnahmen umgehen, Daten offenlegen oder manipulieren, Spoofing-⁠Angriffe durchführen oder Denial-⁠of-⁠Service-⁠Zustände herbeiführen. Das ist ein breites Spektrum. Es bedeutet aber nicht, dass jede einzelne CVE dieselbe Auswirkung hat oder dass alle Schwachstellen auf demselben Weg ausgenutzt werden.

Der Basiswert liegt bei CVSS 3.1 bei 8,8; das CERT-⁠Bund stuft das Risiko als hoch ein. Für die Praxis ist vor allem die Kombination aus dieser Einstufung und der angegebenen Remote-⁠Ausnutzbarkeit relevant: Die Prüfung sollte nicht davon abhängen, ob ein Browser auf einem einzelnen Gerät oder zentral bereitgestellt wird. Ein gemeinsamer Advisory-⁠Eintrag ist außerdem kein Grund, den Schwachstellen eine gemeinsame Ursache zuzuschreiben.

Die Versionsprüfung muss Chrome und Edge erfassen

Für Google Chrome nennt das Advisory die Versionsangaben 154.0.8037.57 und 154.0.8037.58. Für Microsoft Edge ist 154.0.4258.37 aufgeführt. Daneben nennt der Eintrag ältere Chrome-⁠ und Edge-⁠Stände als betroffen. Vergleichen Sie die installierten Versionen daher mit den Einträgen für den jeweils eingesetzten Browser, statt aus einem Update auf einem Gerät auf den Zustand der gesamten Umgebung zu schließen.

Das gilt auch für Installationen, die nicht auf klassischen Büro-⁠PCs laufen. Browser können Teil eines zentral verwalteten Arbeitsplatzimages oder auf einem Terminalserver installiert sein. Beziehen Sie diese Systeme in die Bestandsprüfung ein: Ein gepflegter Client-⁠Bestand sagt noch nichts über Browser aus, die auf gemeinsam genutzten Hosts oder in separaten Images liegen.

Linux-Installationen brauchen einen eigenen Prüfpfad

Das Advisory führt neben Chrome und Edge auch Debian Linux, Fedora Linux und SUSE openSUSE auf. In den Aktualisierungen wurden außerdem Hinweise zu Distributionsupdates ergänzt. Damit reicht es bei Linux-⁠Systemen nicht, nur eine browserübergreifende Liste zu kontrollieren. Prüfen Sie auch, ob die Systeme ihre Browserpakete über die jeweilige Distribution beziehen und ob deren bereitgestellte Aktualisierung in Ihrer Verteilung angekommen ist.

Gerade in gemischten Umgebungen entstehen sonst leicht blinde Flecken: Ein Browser kann direkt durch die Organisation gepflegt werden, ein anderer über den Paketbestand des Betriebssystems. Erfassen Sie deshalb Browserfamilie, Installationsweg und den tatsächlich installierten Stand gemeinsam. Das ist für dieses Advisory aussagekräftiger als eine pauschale Meldung, dass Browserupdates allgemein aktiviert seien.

Aktualisierte Hinweise nicht als erledigte Prüfung behandeln

Der CERT-⁠Bund-⁠Eintrag wurde am 22. September veröffentlicht und zuletzt am 1. Oktober aktualisiert. Die Versionshistorie dokumentiert nachträglich aufgenommene Edge-⁠ und Distributionshinweise. Ein bereits früher durchgeführter Check ist deshalb nur dann belastbar, wenn er die inzwischen ergänzten betroffenen Produkte und Updates einschließt.

Für die Bearbeitung empfiehlt sich eine kurze, nachvollziehbare Reihenfolge: Ermitteln Sie die installierten Chrome-⁠ und Edge-⁠Stände, gleichen Sie sie mit den im Advisory genannten Versionen ab und prüfen Sie Linux-⁠Systeme zusätzlich über ihren jeweiligen Paket-⁠ und Updateweg. Halten Sie anschließend fest, welche verwalteten Geräte oder Hosts noch einen betroffenen Stand führen und ob die Aktualisierung dort tatsächlich angekommen ist. So vermeiden Sie, dass ein erfolgreicher Test auf einem Mustergerät als Beleg für die ganze Flotte gilt.

Die Meldung verlangt keine pauschale Neuplanung der Browserlandschaft. Sie verlangt aber einen vollständigen Versionsabgleich über die unterschiedlichen Installationswege hinweg. Prüfen Sie Chrome, Edge und die betroffenen Linux-⁠Systeme getrennt nach ihrem tatsächlichen Updateweg.

Quellen: CERT-⁠Bund, WID-⁠SEC-⁠2026-⁠3514 — https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-⁠SEC-⁠2026-⁠3514