Chrome, Edge, Opera: Google-Panne macht Millionen Internetnutzer angreifbar
Google hat unbeabsichtigt Programmcode veröffentlicht, mit dem sich eine seit Ende 2022 bekannte Sicherheitslücke in zahlreichen Webbrowsern ausnutzen lässt. Der Angriffs-Code kursiert demnach weiterhin im Internet, obwohl Google ihn inzwischen von seinen Webseiten entfernt hat.
Betroffen sind alle Browser, die auf der Codebasis von Googles Chromium-Projekt aufbauen. Dazu gehören:
- Google Chrome,
- Microsoft Edge,
- Brave,
- Opera,
- Vivaldi
- Arc.
Wann Google die laut Entwicklern «schwerwiegende» Lücke schliessen wird, ist nicht bekannt.
Wo ist das Problem?
Der sogenannte Exploit-Code für die noch nicht behobene Sicherheitslücke wurde am Mittwoch, 20. Mai 2026, von Google veröffentlicht, wie Ars Technica berichtete.
Die Sicherheitslücke steckt gemäss Bericht in einem Programmteil der Browser, der dazu dient, grosse Dateien im Hintergrund herunterzuladen. Angreifer könnten die Lücke verwenden, um über eine manipulierte Webseite eine Software auf fremden Rechnern zu installieren. Diese Software laufe im Hintergrund weiter, auch wenn der Browser geschlossen werde. Auf manchen Systemen bleibe das Programm sogar nach einem vollständigen Geräteneustart aktiv.
Infizierte Browser liessen sich in anonyme Netzwerke einbinden, für koordinierte DDoS-Angriffe einsetzen oder zur Überwachung des Surfverhaltens nutzen, heisst es.
Das eigentliche Risiko liege darin, dass sich aus vielen infizierten Geräten ein Botnetz aufbauen lasse, das später mit weiteren Sicherheitslücken kombiniert werden könnte.
Die Sicherheitsforscherin Lyra Rebane, die die Browser-Sicherheitslücke ursprünglich entdeckt und im Dezember 2022 vertraulich an Google gemeldet hatte, sagte Ars Technica, die Ausnutzung des veröffentlichten Codes sei «ziemlich einfach». Den Aufbau eines grossen Botnetzes bezeichnete sie als aufwendiger, aber nicht unmöglich.
Rebane hat auch die Google-Panne letzte Woche zuerst bemerkt. Sie sei zunächst davon ausgegangen, dass die Lücke endlich geschlossen sei. Kurz darauf habe sie festgestellt, dass der Fehler weiterhin aktiv ausnutzbar sei.
Was hilft dagegen?
Besonders heikel sei die Lage für Nutzerinnen und Nutzer des Microsoft-Browsers Edge. In der aktuellen Version erscheine beim Ausnutzen der Lücke kein sichtbarer Hinweis wie ein Download-Pop-up oder eine Fehlermeldung. Der Angriff laufe vollständig im Verborgenen, heisst es.
Anwender sollten beim Surfen im Internet auf Fehlermeldungen oder Pop-ups achten. Nutzer des Edge-Browsers sollten vorerst ganz auf die Verwendung des Browsers verzichten, bis die Sicherheitslücke geschlossen ist.
Das Unternehmen reagiert laut Bericht zunächst nicht auf Anfragen, warum die Sicherheitslücke veröffentlicht wurde. Ein Sprecher erklärte, man sei sich der Veröffentlichung des Quellcodes bewusst und arbeite an einer Lösung.
Quellen
- arstechnica.com: Google publishes exploit code threatening millions of Chromium users
- bleepingcomputer.com: Google accidentally exposed details of unfixed Chromium flaw
(dsc/t-online)
