246 CVE-⁠Kennungen für Chrome und Edge – Updates je Betriebssystem prüfen

Das am 29. Oktober aktualisierte CERT-⁠Bund-⁠Advisory führt 246 CVE-⁠Kennungen für Google Chrome und Microsoft Edge auf. Remote-⁠Ausnutzung ist möglich; der Gesamtwert liegt bei CVSS 8,8. Für den Betrieb ist neben dem Browserstand auch wichtig, dass das Advisory Sicherheitsupdates für mehrere Linux-⁠Distributionen aufführt.

Der aktuelle Stand betrifft mehr als einzelne Browserinstallationen

Die Meldung bündelt Schwachstellen mit unterschiedlichen möglichen Folgen: Angreifer könnten Programmcode ausführen, Berechtigungen erweitern, Schutzmaßnahmen umgehen, Daten manipulieren oder offenlegen oder einen Denial-⁠of-⁠Service-⁠Zustand auslösen. Diese Auswirkungen sind nicht als ein gemeinsamer Angriffspfad zu verstehen. Die CVE-⁠Liste ist eine Sammlung einzelner Kennungen, keine Aussage, dass jede Schwachstelle dieselbe Ursache oder dieselbe Wirkung hat.

Auch die Versionshistorie ist für die Einordnung wichtig. CERT-⁠Bund veröffentlichte das Advisory am 6. Oktober und ergänzte es bis zum 29. Oktober mehrfach um Updates verschiedener Distributionen. Damit reicht eine einmalige Prüfung zu Beginn der Meldung nicht zwingend aus, wenn Sie die spätere Aktualisierung des Hinweises nachvollziehen müssen. Der hier vorliegende Stand enthält auch Einträge für Debian, Fedora, Oracle Linux, Rocky Linux, Red Hat Enterprise Linux und openSUSE.

Browser-⁠Versionen getrennt abgleichen

Für Google Chrome nennt das Advisory die Versionen 155.0.8059.39 und 155.0.8059.40 als Update-⁠Stände. Für Microsoft Edge sind 155.0.4283.45 und 155.0.4283.48 aufgeführt. Zugleich nennt die Meldung niedrigere Versionen als betroffen. Prüfen Sie daher Chrome und Edge separat und gleichen Sie die installierte Version mit dem für das jeweilige Produkt aufgeführten Stand ab. Setzen Sie nicht voraus, dass ein Update des einen Browsers automatisch auch den anderen aktualisiert.

Das ist besonders relevant, wenn in Ihrem Unternehmen beide Browser zugelassen sind oder Geräte unterschiedliche Bereitstellungswege nutzen. Eine Prüfung nur an einem Beispielgerät belegt dann nicht, dass der gesamte Bestand denselben Stand erreicht hat. Nutzen Sie die Browser-⁠Version und Ihre vorhandene Geräteübersicht, um betroffene Installationen und ausstehende Updates zu erkennen. Entscheidend ist die tatsächlich installierte Version, nicht allein die Vorgabe in einer Richtlinie oder ein bereits gestarteter Rollout.

Linux-⁠Systeme brauchen eine eigene Prüfung

Bei Linux gehört zusätzlich der Weg der Browserpflege in die Bestandsaufnahme. CERT-⁠Bund führt mehrere Distributionen im Advisory und ergänzt die Versionshistorie um deren Updates. Ein Browser auf einem Linux-⁠Arbeitsplatz kann daher in einem anderen Updateprozess liegen als eine Installation, die direkt über den Browser gepflegt wird. Behandeln Sie diese Systeme nicht pauschal als eine einzige Gruppe.

Ordnen Sie die betroffenen Geräte zunächst dem Betriebssystem und dem zuständigen Updateprozess zu. Prüfen Sie dann, ob das Update für diese Installation übernommen wurde und ob die Browser-⁠Version dem passenden aufgeführten Stand entspricht. Die Meldung nennt keine konkreten Paketversionsnummern für die einzelnen Distributionen; deshalb wäre es nicht sinnvoll, für alle Linux-⁠Systeme einen einzigen Versionswert anzusetzen. Eine erfolgreiche Aktualisierung muss sich am jeweiligen System nachvollziehen lassen.

Was die hohe Bewertung für die Priorisierung bedeutet

Der CVSS-⁠Basiswert von 8,8 und die Einstufung als hohes Risiko sprechen dafür, die Prüfung nicht bis zu einem beliebigen Routinezeitpunkt aufzuschieben. Gleichzeitig ist die Sammelmeldung kein Beleg dafür, dass alle genannten Schwachstellen in jeder Installation gleich relevant sind oder dass jede gelistete Auswirkung bei jedem Browser eintritt. Für die praktische Reihenfolge zählt zunächst, welche Geräte eine betroffene Version ausführen und ob der korrigierte Stand bereits eingespielt wurde.

Priorisieren Sie deshalb gemeinsam genutzte und geschäftskritische Geräte nicht nach dem Namen der CVE-⁠Liste, sondern nach konkretem Versionsstand und Updateverantwortung. Ein Status wie „Rollout gestartet“ reicht für die Kontrolle nicht aus. Erst wenn die Zielgeräte den korrigierten Stand tatsächlich ausführen, ist die Prüfung für diese Geräte abgeschlossen.

Ein nachvollziehbarer Abschluss statt einer pauschalen Entwarnung

Führen Sie Chrome, Edge und Linux-⁠Systeme in der Prüfung getrennt, dokumentieren Sie den festgestellten Versionsstand und kontrollieren Sie die Verteilung nach dem Update erneut. So vermeiden Sie, dass ein erfolgreich aktualisierter Teilbestand als Beleg für alle Endgeräte gilt.

Gleichen Sie jetzt die installierten Chrome-⁠ und Edge-⁠Versionen sowie die Linux-⁠Updatewege getrennt mit dem aktualisierten CERT-⁠Bund-⁠Hinweis ab.

Quellen: CERT-⁠Bund-⁠Advisory WID-⁠SEC-⁠2026-⁠3761 — https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-⁠SEC-⁠2026-⁠3761