CVE-2025-10200 und CVE-2025-10201: Kritische Codeausführung in Chrome und Edge — so prüfen Sie Ihre Version jetzt

Ein CVSS-Wert von 8,8 und ein Angreifer, der weder eingeloggt sein noch irgendein Vorwissen über Ihr System haben muss — das klingt nach einer der üblichen Chrome-Lücken, die Google routinemäßig im Hintergrund schließt. Genau das ist hier auch überwiegend passiert: Google und Microsoft haben CVE-2025-10200 und CVE-2025-10201 bereits im September 2025 gepatcht. Bemerkenswert an dieser Woche ist etwas anderes: Gentoo Linux hat die Lücke laut aktuellem CERT-Bund-Advisory erst jetzt, ein Jahr später, geschlossen – und wer in dieser Zeit ein IGEL-Thin-Client-Image oder eine Linux-Distribution mit veraltetem Chromium-Unterbau für den Zugriff auf Terminal-Server-Umgebungen eingesetzt hat, war entsprechend lange angreifbar.

Was ist passiert?

CERT-Bund hat am 13. September 2026 die siebte Revision des Advisorys WID-SEC-2025-2015 veröffentlicht. Ursprünglich stammt die Meldung vom 9. September 2025: Google Chrome und Microsoft Edge enthielten mehrere Schwachstellen, über die ein entfernter, nicht authentifizierter Angreifer beliebigen Programmcode ausführen, einen Denial-of-Service-Zustand auslösen oder Sicherheitsmechanismen umgehen konnte. Google und Microsoft reagierten schnell: Chrome ab Version 140.0.7339.127 (Linux/Windows) beziehungsweise 140.0.7339.132/.133 (Mac) sowie Edge ab 140.0.3485.66 gelten seit September 2025 als bereinigt. In den folgenden Wochen zogen Debian, Fedora und openSUSE über ihre eigenen Chromium- und Edge-Pakete nach. IGEL, dessen Betriebssystem auf Thin Clients für den Fernzugriff auf Terminal-Server und RDS-Umgebungen läuft, folgte im Oktober 2025. Gentoo brauchte deutlich länger: Der zugehörige Sicherheitshinweis GLSA-202609-02 datiert erst auf den 13. September 2026, fast genau ein Jahr nach der Erstveröffentlichung.

Was ist belegt?

Der CVSS-3.1-Base-Score von 8,8 (temporal 7,7) und die Angreifer-Voraussetzungen sind über alle sieben Revisionen hinweg unverändert dokumentiert: entfernt ausnutzbar, kein Login, kein lokaler Zugriff nötig. Die Kombination aus möglicher Codeausführung, Rechteausweitung und Umgehung von Sicherheitsmechanismen macht den Fall unabhängig vom Einzelfall ernst, nicht nur eine der drei Auswirkungen für sich genommen. Ebenso belegt sind die konkreten Fix-Versionen für Chrome und Edge sowie die einzelnen Distributions-Advisories von Debian, Fedora, openSUSE und IGEL. Für Gentoo-Systeme gilt die Lücke mit dem aktuellen GLSA-Update als geschlossen, sobald das Paket aktualisiert wird.

Was ist derzeit unklar?

CERT-Bund bezeichnet die möglichen Folgen weiterhin vorsichtig als „andere nicht näher spezifizierte Angriffe“. Eine genaue technische Aufschlüsselung, welche der beiden CVEs konkret für Codeausführung und welche eher für den Denial-of-Service-Fall verantwortlich ist, liefert das Advisory nicht. Öffentlich verfügbarer Exploit-Code oder eine aktive Ausnutzung in freier Wildbahn sind nach aktuellem Kenntnisstand nicht bestätigt.

Was bedeutet das für Sie?

Für die meisten Chrome- und Edge-Nutzer unter Windows und macOS ist das Thema seit einem Jahr erledigt, sofern automatische Updates aktiv sind. Relevant bleibt der Fall für alle, die Chromium- oder Edge-Komponenten über ein eigenes Paketsystem beziehen (Debian, Fedora, openSUSE, Gentoo) oder über IGEL-Thin-Clients auf Terminal-Server- und RDS-Sitzungen zugreifen. Was Sie jetzt prüfen sollten: die tatsächlich installierte Chrome- beziehungsweise Edge-Version auf allen Endgeräten, nicht nur auf den Verwaltungs-PCs, sowie den Patch-Stand von IGEL OS und der eingesetzten Linux-Distribution, falls diese im Einsatz ist. Wer Gentoo-basierte Systeme betreibt, sollte das GLSA-Update jetzt einspielen.

Quellen: CERT-Bund — „Google Chrome und Microsoft Edge: Mehrere Schwachstellen“ (WID-SEC-2025-2015) (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-2015)