Emergency update for Chrome closes 0-day vulnerability in the browser – Opera is also protected

Google hat für seinen Browser Chrome 136 ein neues Sicherheits-Update bereitgestellt – einen Tag später als sonst üblich. In den neuen Chrome-Versionen 136.0.7103.113/114 für Windows und macOS sowie 136.0.7103.113 für Linux sind mehrere Schwachstellen behoben. Laut Google wird eine der Lücken schon für Angriffe ausgenutzt. Die Hersteller anderer Chromium-basierter Browser werden in den nächsten Tagen nachziehen.

Im Chrome Release Blog benennt Srinivas Sista diejenigen zwei der insgesamt vier beseitigten Sicherheitslücken, die durch externe Sicherheitsforscher entdeckt und an Google gemeldet worden sind. Google stuft diese beiden Schwachstellen (CVE-2025-4664, -4609) als hohes Risiko ein. Zudem gibt Srinivas Sista im Blog an, dass es Berichte über Angriffe gebe, bei denen CVE-2025-4664 ausgenutzt werde. Mehr erfährt man daraus jedoch nicht. Auch über die beiden intern entdeckten Schwachstellen äußert sich Google nicht näher.

▶Die neuesten Sicherheits-Updates

Beim vorherigen Update für Chrome 136 vor einer Woche hatte Google zwei Sicherheitslücken geschlossen. In aller Regel aktualisiert sich Chrome automatisch, wenn eine neue Version verfügbar ist. Mit dem Menü-Eintrag » Hilfe » Über Google Chrome können Sie die Update-Prüfung manuell anstoßen. Google hat auch Chrome für Android 136.0.7103.125 bereitgestellt. Darin sind die gleichen Schwachstellen beseitigt wie in den Desktop-Ausgaben. Ende Mai will Google Chrome 137 freigeben.

Tipp: Unabhängig davon, dass Sie Ihren Browser stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.

Andere Chromium-basierte Browser

Die Hersteller anderer auf Chromium basierender Browser sind nun wieder gefordert, mit Updates nachzuziehen. Brave und Microsoft Edge sind derzeit auf dem Sicherheitsstand vor dem oben beschriebenen Chrome-Update. Beide Hersteller haben schon in der ersten Mai-Woche auf Chromium 136 umgestellt.

Bei Vivaldi dürfte dies erst zum kommenden Wochenende geschehen. In der aktuellen Vorabversion Vivaldi 7.4 RC 2 (Release Candidate) steckt bereits Chromium 136.0.7103.113. Für die derzeit noch aktuelle Vivaldi-Version 7.3.3635.12 haben die Entwickler einen Patch gegen die Sicherheitslücke CVE-2025-4096 zeitnah von Chromium 136 auf Chromium 134 rückportiert. Diese Schwachstelle mit hoher Risikoeinstufung hatte Google vor zwei Wochen geschlossen.

Opera hat in dieser Woche seine Browser-Version 119 freigegeben. Mit dieser setzt Opera auf die veraltete Chromium-Version 134, für die Google keine Updates mehr liefert. Denn mit dem Extended Stable Channel Chromium 134 ist es seit dem Erscheinen von Chromium 136 vorbei. Um zu den anderen aufzuschließen, müsste Opera mit der nächsten Browser-Version einen großen Schritt machen und mindestens eine, besser gleich zwei Chromium-Generationen überspringen.

Update 16. Mai – Brave, Edge und Vivaldi sind abgesichert

Bereits einen Tag nach Googles Chrome-Update haben auch Brave, Microsoft und Vivaldi ihre Browser aktualisiert, um vor allem die 0-Day-Lücke CVE-2025-4664 zu schließen.

Brave hat für seinen Browser ein Update auf die Version 1.78.102 bereitgestellt. Darin steckt Chromium 136.0.7103.113. Die gleiche Chromium-Version setzt Microsoft bei Edge 136.0.3240.76 ein.

Die Vivaldi-Entwickler haben für das Notfall-Update auf Vivaldi 7.3.3635.14 notgedrungen die Fixes für die Schwachstellen CVE-2025-4664 und CVE-2025-4609 nach Chromium 134 rückportiert. Im Versionszweig 7.3 verbleiben allerdings ein paar weniger problematische Schwachstellen der Chromium-Version 134. Vivaldi 7.4 mit Chromium 136 steht jedoch bereits in den Startlöchern.

Update 20. Mai – Opera flickt die 0-Day-Lücke

Opera ist dem Beispiel der Vivaldi-Entwickler zumindest teilweise gefolgt und hat den Fix für die 0-Day-Lücke CVE-2025-4664 auf Chromium 134 rückportiert. Opera 119.0.5497.38 basiert nach wie vor auf Chromium 134.0.6998.205, enthält also etliche bekannte Sicherheitslücken.

Vivaldi hat das Wochenende genutzt und nach Vivaldi 7.4 RC 3 am Montag die finale Version 7.4.3684.38 veröffentlicht. Darin werkelt mit Chromium 136.0.7103.138 eine neuere Ausgabe der quelloffenen Browser-Basis als bei der Konkurrenz.