Google schließt erneut kritische Sicherheitslücke in Chrome

Google hat ein dringendes Sicherheitsupdate für seinen Chrome-Browser veröffentlicht. Anlass ist eine erneut ausgenutzte Schwachstelle, die bereits aktiv von Angreifern verwendet wird.

Es handelt sich um die dritte sogenannte Zero-Day-Lücke, die in diesem Jahr entdeckt und beseitigt wurde.

Sicherheitslücke im JavaScript-Modul V8

Die aktuelle Schwachstelle mit der Kennung CVE-2025-5419 betrifft das JavaScript-Modul V8, das für die Ausführung von Skripten in Chrome zuständig ist. Die Sicherheitslücke erlaubt es Angreifern, durch fehlerhafte Speicherzugriffe (Out-of-Bounds Read/Write) potenziell beliebigen Code auszuführen.

Entdeckt wurde die Lücke von Sicherheitsforschern aus dem Threat Analysis Team von Google. Laut Google erfolgte bereits kurz nach der Meldung eine technische Gegenmaßnahme durch eine Konfigurationsänderung im stabilen Zweig des Browsers.

Update für alle Plattformen bereits verteilt

Zur endgültigen Behebung wurde jetzt die Chrome-Version 137.0.7151.68/.69 für Windows und macOS sowie 137.0.7151.68 für Linux veröffentlicht. Das Update wird in den kommenden Tagen und Wochen automatisch an alle Nutzer verteilt. Wer auf Nummer sicher gehen will, sollte das Update manuell anstoßen:

Menü → Hilfe → Über Google Chrome → Aktualisierung abschließen → „Neu starten“ klicken.

Details bewusst zurückgehalten

Google hält sich mit technischen Einzelheiten zur Sicherheitslücke derzeit zurück – ein üblicher Schritt bei aktiv ausgenutzten Schwachstellen. Hintergrund ist, dass Angreifer durch zu frühe Veröffentlichung von Details weiteren Schaden anrichten könnten. Erst wenn ein Großteil der Nutzer die gepatchte Version verwendet, will das Unternehmen weitere Informationen bereitstellen.

Bereits dritte kritische Lücke 2025

Die jetzt geschlossene Lücke reiht sich in eine Serie von Zero-Day-Schwachstellen ein, die Chrome allein in diesem Jahr betreffen:

• März 2025: Eine Sandbox-Escape-Lücke (CVE-2025-2783), entdeckt durch Sicherheitsforscher von Kaspersky, wurde genutzt, um Spionagesoftware gegen russische Behörden und Medien einzusetzen.
• Mai 2025: Eine weitere Zero-Day-Sicherheitslücke erlaubte es Angreifern, nach erfolgreicher Ausnutzung Zugriff auf Nutzerkonten zu erlangen.

Rückblick: Zehn Zero-Days im Vorjahr

Bereits 2024 hatte Google mit zehn Zero-Day-Sicherheitslücken zu kämpfen, die teils auf der Hacker-Veranstaltung Pwn2Own demonstriert oder direkt in aktiven Angriffen beobachtet wurden. Der Trend zeigt: Webbrowser stehen weiterhin im Fokus professioneller Angreifer, und schnelle Updates sind ein zentraler Baustein für die IT-Sicherheit.