Chrome 149: Google stopft Rekord von 74 Sicherheitslücken

Google stoppt mit Chrome 149 eine Rekordzahl von 74 Sicherheitslücken. Das BSI stuft die Risiken als hoch ein und rät zu sofortigen Updates.

Google und Microsoft haben umfangreiche Sicherheitsupdates für ihre Browser veröffentlicht – und das BSI warnt vor hohen Risiken. Angreifer nutzen derzeit gezielt Schwachstellen in Chrome und Edge aus, um Schadcode auf Systeme zu schleusen.

Chrome 149 stopft Rekordzahl an Sicherheitslücken

Google hat Chrome auf Version 149.0.7827.102/.103 aktualisiert. Der Patch behebt insgesamt 74 Sicherheitslücken – 17 davon gelten als kritisch, 55 als hochriskant. Besonders im Fokus steht die Schwachstelle CVE-2026-11645 in der V8-JavaScript-Engine. Sie wird Berichten zufolge bereits aktiv für Angriffe genutzt.

Anzeige: Wer die Rekordzahl an Chrome-Lücken und die neue Frost-Methode für sein Unternehmen bewerten will, findet im kostenlosen Report die wichtigsten Sofortmaßnahmen – von Patch-Checkliste bis NIS2-Compliance. Jetzt Sicherheits-Report anfordern

Die aktuelle Version markiert einen Meilenstein: Insgesamt hat Google in Chrome 149 satte 429 Schwachstellen korrigiert. Ein Rekordwert. Die kritischste Lücke CVE-2026-10881 in der Angle-Komponente erreicht einen CVSS-Score von 9,6. Für die Entdeckung zahlte Google Prämien von bis zu 97.000 US-Dollar.

Das BSI aktualisierte am 8. Juni seine Warnmeldungen für Chrome und Microsoft Edge. Die Behörde stuft das Risiko mit CVSS 8.8 als hoch ein. Angreifer können über präparierte Webseiten Schadcode ausführen oder Denial-of-Service-Zustände herbeiführen. Betroffen sind Systeme unter Windows, macOS und Linux. Auch Chromium-Alternativen wie Vivaldi und Brave haben Updates erhalten.

„Frost“: Forscher lesen SSD-Aktivitäten über den Browser aus

Neben den Software-Fehlern kommt eine neue Bedrohung hinzu. Forscher der TU Graz präsentierten am 8. Juni eine Methode namens „Frost“. Damit können Webseiten über JavaScript die SSD-Aktivitäten von Besuchern analysieren.

Die Technik nutzt Timing-Messungen des Origin Private File Systems (OPFS). So lassen sich andere offene Tabs oder laufende Anwendungen identifizieren. Die Forscher demonstrierten den Angriff auf Systemen mit Apples M2-Prozessoren. Der Clou: Der Angriff läuft vollständig im Browser ab – ohne zusätzliche Schadsoftware. Die Browser-Hersteller wurden informiert. Im Juli soll die Methode auf der Sicherheitskonferenz DIMVA detailliert vorgestellt werden.

Apple schließt KI-Lücke und aktiviert Diebstahlschutz

Auch Apple hat am 8. Juni nachgelegt. iOS 26.4 und macOS 26.4 bringen kritische Sicherheitsupdates. Ein Schwerpunkt: eine Prompt-Injection-Lücke in „Apple Intelligence“. Die Schwachstelle erlaubte unautorisierte Befehle mit einer Erfolgsquote von 76 Prozent.

Gleichzeitig aktiviert Apple den Diebstahlschutz in iOS 26.4 standardmäßig. Für ältere Geräte gibt es die Sicherheitsupdates iOS 15.8.7 und 16.7.15. Im Herbst 2026 soll iOS 27 erscheinen – dann ohne Unterstützung für das iPhone 11 oder das iPhone SE der zweiten Generation.

Mobile Cyberkriminalität explodiert

Die aktuellen Sicherheitsmaßnahmen sind dringend nötig. In den letzten zwei Jahren stiegen Phishing-Angriffe auf Android-Geräte um 1.200 Prozent. Allein im ersten Quartal 2026 belief sich der weltweite Schaden durch mobile Cyberkriminalität auf schätzungsweise 442 Milliarden Euro.

Besonders „Quishing“ – Phishing über QR-Codes – verzeichnete mit 18 Millionen Fällen einen Zuwachs von 150 Prozent.

Anzeige: Die mobile Cyberkriminalität ist um 1200% gestiegen – Quishing und Browser-basierte SSD-Angriffe gefährden Ihre Endgeräte. Dieser Report liefert konkrete Abwehrstrategien und einen Compliance-Fahrplan für NIS2. Report mit Abwehrstrategien sichern

Auch Server-Infrastruktur unter Druck

Neben Endgeräten stehen Server im Fokus. Das BSI veröffentlichte am 8. Juni Sicherheitswarnungen für NGINX (CVE-2026-9256) und das Multimedia-Framework GStreamer. Bei NGINX bewertet die Behörde das Risiko mit CVSS 8.1 als hoch – Angreifer können potenziell Code ausführen.

Unternehmen müssen sich zudem auf strengere Compliance-Anforderungen einstellen. Die NIS2-Richtlinie zwingt Organisationen, dokumentierte Sicherheitsmaßnahmen von ihren Zulieferern zu fordern. Besonders das Patchmanagement und die Reaktionsfähigkeit bei Sicherheitsvorfällen stehen im Fokus. Für viele mittelständische Betriebe bedeutet das eine neue organisatorische Herausforderung.