Prisma Browser bekommt großes Update: Chromium-Fehler und eigene Lücken behoben

Palo Alto Networks hat für den Prisma Browser ein umfangreiches Sicherheitsupdate bereitgestellt. Der Hersteller übernimmt damit zahlreiche Korrekturen aus dem Chromium-Unterbau und schließt zugleich zwei Schwachstellen, die unmittelbar Funktionen des eigenen Enterprise-Browsers betreffen. Hinweise auf eine bekannte böswillige Ausnutzung der im aktuellen Advisory behandelten Lücken liegen bislang nicht vor – für Unternehmen bleibt dennoch entscheidend, welche Version tatsächlich im Einsatz ist.

13. August 2026 – Palo Alto Networks hat eine große Serie von Sicherheitskorrekturen für seinen Prisma Browser veröffentlicht. Das Unternehmen fasst die Änderungen in seinem Security Advisory PAN-SA-2026-0011 zusammen. Nach Angaben von Palo Alto Networks stammt der überwiegende Teil der aufgeführten Schwachstellen aus Chromium, auf dessen Technik der Prisma Browser aufbaut. Hinzu kommen zwei Sicherheitsprobleme, die speziell Funktionen des Enterprise-Browsers betreffen.

Die lange Liste der CVE-Kennungen wirkt auf den ersten Blick dramatisch. Für die Einordnung ist jedoch wichtig, zwischen übernommenen Chromium-Lücken und Fehlern im Prisma Browser selbst zu unterscheiden. Palo Alto Networks hat nicht Hunderte eigene Schwachstellen im Browsercode entdeckt. Vielmehr bündelt das Update Sicherheitskorrekturen aus mehreren Chromium- und Chrome-Veröffentlichungen der vergangenen Wochen und führt sie für den Prisma Browser zusammen.

Prisma Browser übernimmt zahlreiche Chromium-Sicherheitsupdates

Das August-Advisory bewertet Palo Alto Networks insgesamt mit dem Schweregrad „High“. Der angegebene CVSS-Basiswert liegt bei 9,2. Unter Einbeziehung der eigenen Bedrohungsbewertung nennt der Hersteller einen Wert von 7,2 und stuft die Aktualisierungsdringlichkeit als moderat ein.

Unter den behobenen Schwachstellen finden sich mehrere Fehlertypen, die bei Webbrowsern regelmäßig besondere Aufmerksamkeit erfordern. Dazu gehören Use-after-free-Probleme, Type Confusion, Integer Overflows, Out-of-bounds-Zugriffe sowie Fehler bei der Verarbeitung oder Prüfung nicht vertrauenswürdiger Eingaben.

Ein Teil dieser Schwachstellen betrifft zentrale Browserkomponenten. Zu den jüngsten im Advisory genannten CVEs zählen CVE-2026-16804, CVE-2026-16805, CVE-2026-16806 und CVE-2026-16807. Sie betreffen unter anderem die Eingabeverarbeitung, Blink, WebMCP und Codecs. Für diese Lücken nennt Palo Alto Networks Prisma Browser 150.49.8.187 als korrigierte Version.

Für Unternehmen bedeutet das allerdings nicht, dass ausschließlich dieser Build relevant ist. Das Security Advisory bündelt mehrere Update-Stufen. Ein Teil der älteren Chromium-Schwachstellen wurde bereits in früheren Prisma-Browser-Versionen geschlossen.

Die Fix-Version hängt von der konkreten Schwachstelle ab

Palo Alto Networks nennt im Advisory mehrere Builds, in denen bestimmte Sicherheitslücken bereits behoben wurden. Dazu gehören unter anderem die Versionen 150.41.2.115, 150.49.4.125, 150.49.6.129 und 150.49.7.182. Die jüngsten aufgeführten Chromium-Lücken werden schließlich mit Version 150.49.8.187 adressiert.

Eine pauschale Aussage, wonach jede ältere Version unterhalb dieses Builds gegen sämtliche aufgeführten Schwachstellen verwundbar sei, wäre deshalb nicht präzise. Administratoren müssen vielmehr prüfen, welcher Prisma-Browser-Build im Unternehmen eingesetzt wird und welche CVEs für diese Version relevant sind.

Zwei Sicherheitslücken betreffen Funktionen von Prisma Browser direkt

Neben den Chromium-Korrekturen weist Palo Alto Networks auf zwei Schwachstellen hin, die spezifisch den Prisma Browser betreffen. Dabei handelt es sich um CVE-2026-0289 und CVE-2026-0290. Beide stehen im Zusammenhang mit der Funktion Account Protection.

CVE-2026-0290 betrifft den Schutz sensibler Informationen

Bei CVE-2026-0290 kann ein lokaler Angreifer nach Angaben des Herstellers unter bestimmten Voraussetzungen auf sensible Informationen zugreifen. Betroffen sind Installationen, bei denen Account Protection aktiviert ist. Palo Alto Networks bewertet diese einzelne Schwachstelle mit dem Schweregrad „Low“.

Für CVE-2026-0290 nennt der Hersteller Versionen vor 148.18.4.217 als betroffen. Als Abhilfe gilt ein Upgrade auf diesen oder einen neueren Versionsstand.

Auch CVE-2026-0289 betrifft die Umsetzung von Account Protection. Der Fehler kann dazu führen, dass vorgesehene Sicherheitskontrollen umgangen werden. Im August-Advisory führt Palo Alto Networks den Build 150.49.4.125 als korrigierte Version für diese Schwachstelle auf.

Beide Prisma-spezifischen Sicherheitslücken wurden dem Unternehmen von Sicherheitsforscher Thomas Villanueva gemeldet.

Keine bekannte aktive Ausnutzung der aktuellen Prisma-Browser-Lücken

Für die aktuelle Risikobewertung ist ein Punkt besonders relevant: Palo Alto Networks erklärt, keine Kenntnis von einer böswilligen Ausnutzung der in dem Advisory zusammengefassten Schwachstellen zu haben. Daraus lässt sich allerdings nicht ableiten, dass eine technische Ausnutzung ausgeschlossen wäre.

Einen allgemeinen Workaround nennt der Hersteller nicht. Für Unternehmen bleibt damit vor allem die Aktualisierung auf einen korrigierten Versionsstand. Gerade bei einem Enterprise-Browser, der zentral verwaltet und in Unternehmensumgebungen eingesetzt wird, gehört die Prüfung der installierten Version damit zu den naheliegenden Maßnahmen.

Das umfangreiche Sicherheitsupdate ist zugleich kein ungewöhnlicher Sonderfall des Prisma Browsers. Die große Zahl der CVEs hängt wesentlich mit dem Chromium-Unterbau zusammen. Google hatte Ende Juli für Chrome ein Stable-Update veröffentlicht, das nach Unternehmensangaben insgesamt 370 Sicherheitskorrekturen enthielt. Browser, die auf Chromium-Technik setzen, müssen entsprechende Korrekturen anschließend in ihre eigenen Veröffentlichungszyklen übernehmen.

• Unternehmen sollten prüfen, welche Version von Prisma Browser aktuell eingesetzt wird.
• Nicht jede im Advisory aufgeführte Schwachstelle verlangt denselben Fix-Build.
• Für mehrere der jüngsten Chromium-CVEs nennt Palo Alto Networks Version 150.49.8.187.
• Für CVE-2026-0290 gilt bereits Version 148.18.4.217 oder neuer als korrigiert.
• Ein allgemeiner Workaround für das gesamte Schwachstellenpaket ist nicht bekannt.

Für Unternehmen zählt der tatsächliche Versionsstand

Der Umfang des aktuellen Prisma-Browser-Updates ergibt sich vor allem aus der Vielzahl übernommener Chromium-Sicherheitskorrekturen. Zwei weitere Schwachstellen betreffen dagegen unmittelbar die Account-Protection-Funktion des Browsers. Diese Trennung ist für die Bewertung wichtiger als die bloße Zahl der aufgeführten CVEs.

Für Administratoren entscheidet deshalb nicht allein die Länge der Sicherheitsliste, sondern der konkrete Versionsstand. Palo Alto Networks hat die Fehler über mehrere Releases hinweg korrigiert. Wer Prisma Browser in einer Unternehmensumgebung einsetzt, sollte deshalb die installierte Version mit den im Advisory genannten Fix-Builds abgleichen und verfügbare Sicherheitsupdates in die regulären Patch-Prozesse aufnehmen.

Dass bislang keine bekannte böswillige Ausnutzung gemeldet wurde, verändert diese Empfehlung nicht. Es spricht gegen eine unnötige Dramatisierung des Sicherheitsupdates, nicht aber gegen eine zeitnahe Prüfung. Bei einem Browser, der täglich mit externen Inhalten, Webseiten und Daten arbeitet, bleibt ein aktueller Softwarestand eine zentrale Voraussetzung für die Sicherheit der Umgebung.