Für mehrere Chrome-Produkte von Google stehen schützende Aktualisierungen bereit. Den Browser sichert ein Stable Channel Update auf 150.0.7871.114/.115 (Windows und macOS) beziehungsweise 150.0.7871.114 (Linux) unter anderem gegen zwei als kritisch bewertete Lücken ab.

In der neuen Chrome for Android-Version 150 (150.0.7871.114) haben sich die Entwickler dieselben Sicherheitslücken vorgenommen wie in den Desktop-Releases. Außerdem gibt es eine frische Version von Chrome for iOS (Stable 150 / 150.0.7871.113) – ohne Security-Relevanz, aber mit Stabilitäts- und Performanceverbesserungen.

Die LTS (Long-Term-Support)-Fassung des Betriebssystems ChromeOS ist ebenfalls in einer neuen Stable-Version, nämlich LTS-144 (144.0.7559.257 / Platform-Version 16503.90.0), verfügbar. Auch hier haben die Entwickler mehrere teils kritische Sicherheitsaktualisierungen eingebaut.

Üblicherweise schreibt Google in den Versionsankündigungen, wenn das Unternehmen davon weiß, dass Sicherheitslücken bereits im Internet angegriffen werden. In den vorliegenden Versionsankündigungen finden sich jedoch keine derartigen Hinweise.

Browser-Updates gegen Use-after-free-Lücken

Nutzer des Chrome- sowie Chromium-basierter Browser schützen die aktuellen Fixes vor möglichen Angriffen auf CVE-2026-15112 und CVE-2026-15129 (jeweils „critical“). In beiden Fällen handelt es sich laut Googles knapper Beschreibung um sogenannte Use-after-free-Lücken. Bei solchen greift der Programmcode auf bereits freigegebene Ressourcen zu, deren Inhalte daher nicht definiert sind. Angreifer können das oftmals sogar zum Ausführen von Schadcode missbrauchen, etwa bei der Anzeige sorgsam präparierter Webseiten.

Weiterhin wurden 23 Lücken mit „High“- (unter anderem Use-after-free und unzureichende Validierungsmechanismen) sowie zwei mit „Medium“-Einstufung beseitigt.

ChromeOS: Sicherheitsupdates für LTS-144

Die LTS-Updates für ChromeOS verteilt Google, so heißt es in den zugehörigen Release Notes, nach und nach automatisch an „die meisten Chrome-OS-Geräte“.

Auch hier wurden unter anderem zwei kritische Use-after-free-Lücken beseitigt, die die Grafik-Komponente Aura (CVE-2026-8514) sowie die Web-Authentifizierungsfunktionen (CVE-2026-12443) betrafen.

(ovw)

Der offizielle Signal-Chat existiert seit Jahren und teilt Mitgliedern neue Features wie Gruppenmitgliedschaften oder das Fixieren von Nachrichten mit. Mit dem jüngsten Update der iOS-App taucht er bei vielen Nutzern neu auf. Womöglich als Reaktion auf Phishing-Angriffe gedacht, wirkt das plötzliche Auftauchen irritierend.

Im Umfeld der heise-Redaktion ist der Signal-Support-Chat mehrfach am frühen Morgen des 9. Juli aufgetaucht. Zumindest zeitlich hängt das mit einem Update der iOS-Version zusammen: In der am 8. Juli erschienenen Version 8.18.1 findet sich ein entsprechender Eintrag im Changelog. „Der offizielle Signal Versions-Chat ist eine neue Möglichkeit, sich über die neuesten Verbesserungen und Funktionen zu informieren“, heißt es dort.

Der Chat selber ist nicht neu – bereits seit Jahren existiert der Kanal in stummgeschalteter Form. Er informierte zuletzt über neue Funktionen wie fixierte Nachrichten, Umfragen und Nachrichten-Backups. Seine Legitimation ist unbestritten: Signal selbst erklärt auf einer Anfang Juli freigeschalteten Support-Seite anhand dieses Kanals die Unterschiede zu den Phishing-Kampagnen, die in den vergangenen Monaten prominente Politiker erwischten.

Die Willkommensbotschaft für neu hinzugefügte Geräte lautet im Volltext:

„Willkommen im offiziellen Chat zu neuen Signal-Versionen!

Wenn wir Verbesserungen vornehmen und neue Funktionen hinzufügen, informieren wir dich hier darüber. Dies ist der einzige offizielle Chat von Signal. Antworte niemals auf andere Chats, die vorgeben, von Signal zu sein. Übrigens, dieser Chat ist standardmäßig stummgeschaltet.

Wenn du diese Nachrichten lieber nicht erhalten möchtest, kannst du den Chat blockieren.“

Unklarer Grund

Warum der Chat nun bei einigen Nutzern erscheint, ist unklar. Entsprechende Ankündigungen seitens Signal gab es vorher nicht – zumindest nicht im Blog des Messengers oder per Pressemitteilung. Signal reagierte zuletzt im April auf die anhaltenden Warnungen vor Phishing-Kampagnen und stellte klar: „Signal wurde nicht gehackt“. Wir haben bei der Pressestelle des Messengers nachgefragt und werden diese Meldung gegebenenfalls aktualisieren.

(cku)

In sechs großen Coding-Agenten findet sich eine Sicherheitslücke: Über ein Repository mit Schadcode können Angreifer die KI-Modelle dazu bewegen, auf beliebige Dateien zuzugreifen – auch außerhalb einer Sandbox.

IT-Forscher von Wiz haben die Schwachstelle entdeckt und GhostApproval genannt. Die Schwachstelle liegt im Umgang mit symbolischen Links.

Betroffen sind Amazon Q Developer, Anthropics Claude Code, Augment, Cursor, Google Antigravity und Windsurf. Für die meisten Tools existiert inzwischen ein Update, das die Schwachstelle behebt, aber für Augment und Windsurf existieren noch keine Patches.

Symlink als Angriffsvektor

Offenbar prüfen die betroffenen Agenten die Symlinks nicht genügend. Die Wiz-Forscher haben ein Repository erstellt, das den Symlink project_settings.json enthält, der auf die SSH-Schlüssel (~/.ssh/authorized_keys) verweist.

In der Readme-Datei steht die Anweisung, dass der Assistent beim Aufsetzen eines Workspace eine Zeile zu project_settings.json hinzufügen soll. Diese Zeile enthält den SSH-Schlüssel des Angreifers.

Sobald jemand das Repository einem KI-Agenten mit der Bitte übergibt, einen Workspace dafür einzurichten, schreibt der Agent vermeintlich in die harmlose project_settings.json-Datei, die aber keine Projektdatei, sondern ein Symlink auf die SSH-Schlüssel ist. Damit öffnet er den Zugriff über SSH für den Angreifer.

Wiz hat auch erfolgreich eine Variante des Angriffs getestet, die einen Symlink auf die Start-up-Datei der Shell ~/.zshrc nutzt.

Human in the Loop hilft nicht immer

Besonders fatal: Wer auf Sicherheit durch Human in the Loop setzt, könnte getäuscht werden. So erkennt Claude Code im internen Reasoning zwar, dass es sich bei project_settings.json eigentlich um eine zsh-Konfigurationsdatei handelt. Allerdings verschweigt der Assistent im Dialog diese Information und fragt nur „Make this edit to project_settings.json?“

Andere Tools umgehen die menschliche Interaktion wohl noch weiter: Windsurf schreibt zunächst den SSH-Schlüssel in die Datei und fragt danach, ob es auch okay ist. Augment zeigt gar keinen Dialog.

Fix für die meisten der betroffenen Systeme

Die Forscher haben die Schwachstelle im Februar 2026 entdeckt und an die Hersteller gemeldet. Für Amazon Q Developer, Google Antigravity und Cursor gibt es inzwischen Updates, die das Problem nicht mehr haben. Augment und Windsurf arbeiten daran. Anthropic hat laut eigenen Angaben unabhängig von der Wiz-Untersuchung daran gearbeitet, dass Claude Code Symlinks erkennt und davor warnt.

Weitere Details zu den Schwachstellen und wie sie sich in den einzelnen KI-Agenten zeigen, finden sich im Wiz-Blog.

(rme)