Bei CVE-2026-125350 handelt es sich um eine als hoch eingestufte Use-after-free-Schwachstelle in der XML-Komponente des Browsers. Ein CVSS-Wert liegt nicht vor. Fehler dieser Art entstehen, wenn ein Programm auf einen Speicherbereich zugreift, der bereits freigegeben wurde. Angreifer können damit Daten beschädigen, Programmabstürze auslösen oder beliebigen Code ausführen. Gemeldet hat die Lücke am 6. November 2026 ein anonymer Sicherheitsforscher.
Google teilte mit, es sei bekannt, dass ein Exploit für CVE-2026-125350 im Umlauf ist. Wie die Lücke bei realen Angriffen eingesetzt wird und wer dahintersteckt, sagt das Unternehmen nicht. Details zum Fehler und zugehörige Links könnten so lange unter Verschluss bleiben, bis die Mehrheit der Nutzer das Update installiert hat, erklärte Google. Die Einschränkungen würden zudem beibehalten, wenn der Fehler in einer Bibliothek eines Drittanbieters steckt, auf die auch andere Projekte angewiesen sind und die dort noch nicht behoben wurde.
Zu den 2026 bereits geschlossenen, aktiv ausgenutzten Chrome-Lücken zählen:
Behoben ist die Schwachstelle in Chrome 157.0.8103.50/.51 für Windows und macOS sowie 157.0.8103.50 für Linux. Ob die aktuelle Version installiert ist, lässt sich über Menü > Hilfe > Über Google Chrome prüfen; anschließend muss der Browser über „Neu starten“ neu geladen werden. Nutzer anderer Chromium-basierter Browser wie Microsoft Edge, Brave, Opera und Vivaldi sollten die Korrekturen einspielen, sobald diese verfügbar sind.