15 CVE in Chrome und Edge – Browser-⁠Stände gezielt aktualisieren

Das CERT-⁠Bund führt im Advisory WID-⁠SEC-⁠2026-⁠3982 insgesamt 15 CVE für Google Chrome und Microsoft Edge auf; möglich sind Codeausführung oder eine Dienstverweigerung. Die Meldung nennt einen CVSS-⁠Basiswert von 8,8. Für den Angriff aus der Ferne ist kein Konto nötig, aber ein Nutzer muss mitwirken.

Das Advisory bündelt 15 Schwachstellen in zwei Browsern

Die Kennungen im Advisory sind CVE-⁠2026-⁠110144, CVE-⁠2026-⁠110151, CVE-⁠2026-⁠110159, CVE-⁠2026-⁠110166, CVE-⁠2026-⁠110172 sowie CVE-⁠2026-⁠110913 bis CVE-⁠2026-⁠110922. Das ist für die Nachverfolgung relevant: Ein pauschaler Vermerk wie „Browser geprüft“ sagt noch nicht, ob beide betroffenen Produkte und die dazugehörigen Installationen erfasst wurden.

Die möglichen Folgen reichen laut CERT-⁠Bund von beliebiger Programmausführung bis zu einem Denial of Service. Das sind unterschiedliche Auswirkungen, aber in beiden Fällen ist ein ungepatchter Browser ein konkreter Prüfpunkt für den Betrieb. Die Sammelmeldung betrifft Chrome und Edge; sie nennt außerdem Debian Linux, Fedora Linux und SUSE openSUSE. Deshalb sollte die Prüfung nicht bei den zentral verwalteten Windows-⁠Arbeitsplätzen enden, falls Browser auch auf Linux-⁠Systemen eingesetzt werden.

Das Advisory erschien erstmals am 15. Oktober 2026 und wurde am 2. November aktualisiert. Die Versionshistorie zeigt, dass im Verlauf weitere Updates für Linux-⁠Distributionen und Microsoft Edge aufgenommen wurden. Eine einmalige Prüfung zu Beginn der Meldung reicht daher nicht unbedingt: Entscheidend ist der aktuelle Stand der Systeme, für die das Advisory gilt.

Versionsstände nach Produkt abgleichen

Für Google Chrome führt das Advisory die Versionsstände 152.0.7977.169, 155.0.8059.84 und 155.0.8059.85 auf. Für Microsoft Edge ist 155.0.4283.62 genannt. Zusätzlich führt das Advisory jeweils ältere Versionsbereiche auf. Verwenden Sie deshalb nicht eine einzige Versionsnummer als allgemeine Freigabe für alle Installationen: Gleichen Sie Chrome und Edge getrennt mit dem jeweils passenden Stand ab.

In der Praxis sollte die Prüfung bis zur tatsächlich installierten Version reichen. Ein Updateauftrag im Verteilungssystem belegt noch nicht, dass das Update auf jedem Gerät erfolgreich angekommen ist. Prüfen Sie daher die Rückmeldungen der verwalteten Endgeräte und klären Sie fehlgeschlagene oder ausstehende Installationen, bevor Sie den Bestand als aktualisiert markieren. Wo mehrere Chrome-⁠Stände im Einsatz sind, muss die Prüfung zudem den installierten Versionszweig berücksichtigen.

Für Linux-⁠Systeme ist der Weg ein anderer, wenn die Distribution den Browser beziehungsweise die Aktualisierung verwaltet. CERT-⁠Bund nennt Debian, Fedora und SUSE openSUSE, aber keine einheitliche Paketversion für alle Distributionen. Prüfen Sie dort den Update-⁠Stand über die jeweilige Systemverwaltung und gleichen Sie die installierte Version mit dem für diese Distribution bereitgestellten Sicherheitsupdate ab. Übernehmen Sie nicht einfach die Versionsnummer eines Windows-⁠ oder macOS-⁠Browsers in eine Linux-⁠Prüfung.

Die Prüfung muss beide Browser umfassen

Chrome und Edge sind getrennt aufgeführt. Eine Organisation, die einen Browser als Standard vorgibt, kann den anderen trotzdem auf einzelnen Arbeitsplätzen, in administrativen Umgebungen oder für bestimmte Anwendungen vorfinden. Die Bestandsaufnahme sollte deshalb beide Produkte berücksichtigen, statt nur die bevorzugte Browser-⁠Anwendung zu kontrollieren.

Sinnvoll ist eine Prüfung entlang der tatsächlichen Verteilung: Welche Geräte erhalten Browser-⁠Updates zentral, welche werden lokal aktualisiert, und welche Systeme liegen außerhalb des üblichen Gerätebestands? Diese Aufteilung hilft, offene Installationen gezielt nachzuverfolgen, statt aus einem erfolgreichen Rollout auf den gesamten Bestand zu schließen. Bei gemeinsam genutzten oder selten eingeschalteten Geräten ist besonders die letzte bekannte Update-⁠Rückmeldung ein brauchbarer Prüfpunkt.

Die Priorität ergibt sich aus den beschriebenen Folgen und der Einstufung als hohes Risiko. Planen Sie die Aktualisierung daher nicht als gewöhnliche Pflegeaufgabe ein, die bis zum nächsten turnusmäßigen Sammellauf warten kann. Gleichzeitig sollte die Freigabe nicht allein auf einer Richtlinie beruhen: Entscheidend ist, dass die aktualisierten Stände auf den betroffenen Geräten angekommen sind.

Was jetzt zu tun ist

Erfassen Sie Chrome und Edge getrennt, prüfen Sie die Versionsstände gegen die im Advisory aufgeführten Zielversionen und verfolgen Sie fehlgeschlagene Updates bis zum Abschluss. Beziehen Sie Debian-, Fedora-⁠ und openSUSE-⁠Systeme ein, sofern Browser dort betrieben werden. Halten Sie anschließend fest, welche Geräte geprüft wurden und wo noch ein Update aussteht. So wird aus der Sicherheitsmeldung eine überprüfbare Aufgabe statt einer bloßen Mitteilung im Patchprozess.

Aktualisieren Sie Chrome und Edge auf den jeweils passenden Stand und bestätigen Sie den Abschluss für alle betroffenen Geräte.

Quellen: CERT-⁠Bund – WID-⁠SEC-⁠2026-⁠3982: Google Chrome / Microsoft Edge: Mehrere Schwachstellen (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-⁠SEC-⁠2026-⁠3982)