Die Chrome Full-Chain-Lücke, die diese Woche bekannt wurde, verdient allein wegen ihres Tempos die Aufmerksamkeit aller Browsernutzer. Am 13. Oktober 2026 teilte das auf autonome offensive Sicherheit spezialisierte Unternehmen XBOW per Business-Wire-Mitteilung mit, dass der Forscher Brendan Dolan-Gavitt gemeinsam mit Agenten auf Basis von OpenAIs GPT-5.6 Sol in nur sechs Tagen eine vollständige Chrome-Exploit-Kette gebaut und dafür 250.000 Dollar aus Googles Chrome Vulnerability Reward Program erhalten hat. Es ist die erste Full-Chain-Prämie nach Googles Regeln von 2026 und die erste für eine autonome offensive Sicherheitsplattform.
Wie drei für sich unscheinbare Fehler eine Kette ergaben
Die Kette überwand zwei Sandbox-Grenzen in drei Stufen. Ein Fehler in V8, Chromes JavaScript-Engine, verschaffte zunächst Kontrolle über Speicher innerhalb der Engine-Sandbox. Ein Fehler im Decoder für animierte WebP-Bilder (CVE-2026-85045) durchbrach diese Sandbox mit einem einzigen präzisen Schreibzugriff in nativen Speicher. Schließlich verwandelte ein Fehler in Crashpad (CVE-2026-78952), der außerhalb der Sandbox laufenden Absturz-Komponente, diesen Schreibzugriff in vollständige Codeausführung. Das Ergebnis: Schon das Laden einer gewöhnlichen Webseite konnte ein Programm außerhalb der Chrome-Sandbox starten, ohne Download und ohne weiteren Klick. XBOW schätzt, dass vor den Korrekturen weltweit rund eine Milliarde Windows-Chrome-Nutzer im Wirkungsbereich dieser Fehlerklasse lagen. Alle drei Fehler wurden über offizielle Wege gemeldet; Googles Ingenieure reproduzierten und bestätigten die Kette und lieferten Korrekturen aus. Gegen echte Nutzer eingesetzt wurden die Schwachstellen nie.
Sechs Tage und rund 40.000 Dollar verändern die Rechnung von Angriff und Verteidigung
Ein Browser-Exploit dieser Güteklasse zu bauen, dauerte früher Monate. XBOW beziffert die Rechenkosten der erfolgreichen Aktion auf rund 40.000 Dollar und die Dauer auf sechs Tage. Gründer und CEO Oege de Moor warnte in der Mitteilung, dass für sich genommen harmlos wirkende Schwachstellen heute rasch zu einem hochkritischen Angriffspfad verkettet werden können; wer verteidigt, müsse ausnutzbare Pfade mit demselben Tempo finden wie die Angreiferseite. Clint Gibler, Leiter der Cyberforschung bei OpenAI, sagte, Ziel sei es, diese Fähigkeiten in die Hände von mehr Verteidigern zu geben, um die Software zu schützen, auf die Menschen täglich angewiesen sind. Die Prämie will XBOW nach eigenen Angaben in die weitere Sicherheitsunterstützung von Nichtregierungsorganisationen stecken.
Was Nutzer und Teams jetzt tun sollten
Für einzelne Nutzer ist die Maßnahme einfach, aber zeitkritisch: Zeigt Chrome einen Update-Hinweis, sollte der Browser neu gestartet und das Update abgeschlossen werden, statt es wochenlang aufzuschieben. Für Sicherheitsteams in Unternehmen ist das Signal konkreter: Die Priorisierung von Korrekturen darf sich nicht mehr nur nach der Einzelbewertung eines Fehlers richten; zu prüfen ist, ob sich die mittleren und niedrigen Befunde in der Warteschlange miteinander verketten lassen. Unser früherer Bericht darüber, wie Anthropics Abwehr gegen Modell-Destillation die aus Claude extrahierte Reasoning-Menge deutlich senkte, behandelte die Beschleunigung der Verteidigung auf Modellebene; dieser Fall zeigt dieselbe Beschleunigung bei Basissoftware wie Browsern. Wer die eigenen Systeme zuerst mit Agenten prüft, bestimmt den Zeitplan der Korrekturen selbst.
