Googles am 27. Oktober 2026 veröffentlichte Mitteilung zum Chrome-Stable-Kanal für Desktop nennt 52 Sicherheitskorrekturen. Vier Einträge sind als Critical eingestuft, 46 als High und zwei als Medium. Google kündigte an, die Builds über die folgenden Tage oder Wochen auszurollen.

Was die 52 Korrekturen umfassen

Die vier Critical-Einträge betreffen unterschiedliche Chrome-Komponenten:

  • CVE-2026-118306: Speicherbeschädigung in FileSystem.
  • CVE-2026-118331: Fehlerhafte Eingabevalidierung in FileAPI.
  • CVE-2026-118348: Fehlerhafte Eingabevalidierung in Skia.
  • CVE-2026-118344: Use-after-free in Layout. Dabei greift Software auf Speicher zu, der bereits freigegeben wurde.

Google schreibt Xinyang Ge alle vier Meldungen zu. Bei CVE-2026-118306 und CVE-2026-118331 nennt Google zusätzlich Claude als Unterstützung; bei den beiden anderen Einträgen steht diese Zuordnung nicht.

Welche Stable-Version für Windows, Mac und Linux gilt

Google nennt für Windows und Mac den Stable-Build 156.0.8078.73/.74 und für Linux 156.0.8078.73.

BetriebssystemVon Google genannter Stable-Build
Windows und Mac156.0.8078.73/.74
Linux156.0.8078.73

Der angekündigte Rollout sollte sich über mehrere Tage oder Wochen erstrecken. Wer nicht auf die automatische Verteilung warten möchte, kann Chrome manuell prüfen: Öffnen Sie das Menü oben rechts und wählen Sie Hilfe > Über Google Chrome. Nach der Installation muss der Browser neu gestartet werden.

Was Critical und Claudes Rolle bedeuten

Chromiums Richtlinie zur Schweregradeinstufung beschreibt Critical als eine Schwachstelle, die bei normaler Nutzung beliebige Codeausführung mit den Rechten des Nutzers ermöglichen kann. Ungewöhnliche zusätzliche Interaktionen oder andere mildernde Faktoren können die Einstufung senken.

Anthropic berichtete am 27. Oktober in einem eigenen Forschungsbericht, ein internes, unveröffentlichtes Forschungsmodell habe eine Chrome-Exploitkette auf macOS erzeugt. Anthropic zufolge konnte sie auf einem Chrome-Browser mit Standardeinstellungen nach dem Laden einer Webseite Code außerhalb der Browser-Sandbox ausführen, ohne dass weitere Nutzerinteraktion nötig war.

Anthropic bezifferte in diesem Bericht die bis Chrome 156 zugewiesenen und behobenen CVEs auf 62. Google nennt 52 Sicherheitskorrekturen für das konkrete Desktop-Update.