AMD hat am 10. November 2026 einen Fehler in Radeon-Grafiktreibern für DirectX und Vulkan bestätigt, der sich über manipulierte Grafikprogramme in einem Webbrowser auslösen lässt. Im Sicherheitsbulletin AMD-SB-4026 schildert das Unternehmen einen über WebGPU demonstrierten Angriff auf die Shader-Verarbeitung. AMD konnte einen Absturz des betroffenen Prozesses reproduzieren, allerdings nach eigener Untersuchung keine weitergehende Auswirkung nachweisen.
Das ist eine wichtige Abgrenzung: Der Entdecker des Fehlers hält außer einem Absturz auch eine Beeinträchtigung der Datenintegrität für möglich. AMD bestätigt zwar die zugrunde liegende unzulässige Speicheroperation, sieht anhand seiner Analyse aber nur den Verlust der Verfügbarkeit als belegt an. Von einer nachgewiesenen Fernübernahme betroffener Rechner ist in der AMD-Sicherheitsmeldung nicht die Rede.
WebGPU als möglicher Auslöser
WebGPU ermöglicht Webseiten, bestimmte Grafik- und Rechenoperationen durch den Grafikprozessor ausführen zu lassen. Dafür werden unter anderem kleine Programme, sogenannte Shader, verarbeitet. Gerade dieser Übergang von Webinhalten zur nativen Grafiksoftware ist sicherheitsrelevant: Ein speziell präparierter Shader wird zunächst vom Browser verarbeitet und kann anschließend Codepfade in Grafiktreibern erreichen.
Der Sicherheitsforscher demonstrierte laut AMD, dass eine ungewöhnlich aufgebaute Shader-Eingabe eine Out-of-bounds-Speicheroperation in den Radeon-User-Mode-Treibern für DirectX und Vulkan auslösen kann. Eine solche Speicherverletzung bedeutet, dass auf einen Bereich außerhalb der vorgesehenen Grenzen zugegriffen wird. Ob daraus nur ein Programmabsturz oder auch ein weitergehender Angriff entsteht, hängt von konkreten technischen Bedingungen ab.
AMD führt den Fehler unter CVE-2026-48479 und bewertet ihn mit 6,9 Punkten nach CVSS 4.0. In der Herstellerbeschreibung wird ein ungültiger beziehungsweise uninitialisierter Zustand im Grafiktreiber als Ursache genannt. Eine erfolgreiche Ausführung beliebigen Schadcodes durch den Browser ist damit gerade nicht belegt. Für Nutzer ist allerdings bereits ein absichtlich auslösbarer Programmabsturz eine relevante Sicherheits- und Stabilitätsfrage.
Welche AMD-Systeme genannt werden
Das Bulletin enthält eine konkrete Produktliste. Dazu zählen Athlon-3000-Mobile-Prozessoren mit Radeon-Grafik, Ryzen 4000 Desktop und Mobile, Ryzen 5000 mit integrierter Radeon-Grafik sowie Ryzen 7030 Mobile. Die Aufzählung bedeutet nicht, dass automatisch alle AMD-Grafikkarten oder alle Ryzen-CPUs betroffen sind; AMD benennt genau die aufgeführten Produktgenerationen.
Für diese Athlon- und Ryzen-Gruppen nennt AMD Adrenalin Edition 26.10.1 als vorgesehenen Korrekturstand. Das Unternehmen bezeichnet den Veröffentlichungszeitraum ausdrücklich als geplant für November 2026. Eine konkrete Freigabe an einem bestimmten Tag lässt sich daraus nicht ableiten. Solange die passende Treiberversion nicht tatsächlich bereitsteht, sollte sie nicht als bereits installiert oder allgemein verfügbar beschrieben werden.
Außerdem führt AMD mehrere Ryzen Embedded-Produktlinien auf, darunter R1000, R2000, V1000 und V2000. Für diese Systeme ist im Bulletin noch keine konkrete Versionsnummer angegeben; die Abhilfe ist für Dezember 2026 vorgesehen. Das ist besonders für langlebige Industrie- und Embedded-Systeme wichtig, bei denen Grafiktreiber nicht immer mit normalen Desktop-Updates aktualisiert werden.
Wie betroffene Geräte geprüft werden sollten
Wer einen Rechner mit integrierter Radeon-Grafik verwendet, sollte zunächst das exakte Prozessormodell ermitteln und mit der Produktliste des Bulletins vergleichen. Unter Windows helfen die Angaben unter Einstellungen → System → Info und im Geräte-Manager. Die tatsächlich installierte Radeon-Treiberversion lässt sich in den Geräteeigenschaften oder in der AMD-Software ablesen.
Anschließend sollte geprüft werden, ob AMD oder der jeweilige Notebook- beziehungsweise PC-Hersteller einen für das Gerät geeigneten korrigierten Treiber freigegeben hat. Da AMD einen Veröffentlichungstermin nur als Ziel nennt, ist die tatsächliche Bereitstellung separat zu kontrollieren. In verwalteten Umgebungen sind Geräteliste, Treiberversion und Freigabestatus zu dokumentieren, bevor eine breite Verteilung beginnt.
Bis zur Bereitstellung einer Abhilfe ist besondere Vorsicht bei unbekannten Webseiten sinnvoll. Eine pauschale Empfehlung, sämtliche WebGPU-Funktionen in allen Browsern abzuschalten, lässt sich allein aus dem Herstellerbulletin nicht ableiten: AMD nennt keine verifizierte generelle Browserkonfiguration als vollständige Schutzmaßnahme. Wo Unternehmensrichtlinien WebGPU einschränken können, ist der praktische Nutzen gegen die Auswirkungen auf Fachanwendungen abzuwägen.
Die Einzelheiten zu betroffenen Produktgenerationen, den geplanten Treiberständen und der unterschiedlichen Bewertung des Angriffspotenzials sind im Originalbulletin AMD-SB-4026 dokumentiert. Dieses Ereignis ist unabhängig vom ebenfalls am 10. November veröffentlichten umfangreicheren Radeon-Sicherheitsbulletin AMD-SB-6028 zu betrachten.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten