Ein Team des Sicherheitsunternehmens Xbow hat nach eigenen Angaben in nur sechs Tagen eine Exploit-Kette entwickelt, die drei Zero-Day-Schwachstellen in Google Chrome miteinander verbindet. Der Angriff konnte Code außerhalb der Browser-Sandbox auf Windows-Systemen ausführen und hätte dadurch potenziell rund eine Milliarde Nutzer betroffen.
Bei der Recherche kam OpenAI GPT-5.6 Sol als Unterstützung zum Einsatz. Die Kette kombinierte einen Fehler im Maglev-Compiler der JavaScript-Engine V8, eine Schwachstelle im Decoder für animierte WebP-Bilder und einen Speicherfehler in Crashpad. Zusammen ermöglichten die Lücken den Forschern, die Schutzgrenzen des Browsers schrittweise zu überwinden.
Google hat alle drei Sicherheitsprobleme behoben und dem Xbow-Team die höchste Belohnung für einen vollständigen Chrome-Exploit gezahlt: 250.000 US-Dollar. Laut Xbow kostete die Untersuchung zusätzlich etwa 40.000 US-Dollar an API-Token.
Chrome installiert Sicherheitsupdates automatisch, die Korrektur wird jedoch erst nach einem Neustart des Browsers wirksam. Nutzer sollten daher prüfen, ob sie mindestens Version 152.0.7977.82 verwenden, und den Browser nach dem Update neu starten.