Google Chrome: Fehlerhafte Autorisierung in SiteIsolation
Zusammenfassung
Google Chrome Versionen vor 155.0.8059.39 enthalten eine fehlerhafte Autorisierung in SiteIsolation, dem Feature von Chrome zur prozessbasierten Isolation pro Website. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code im Browser ausführen. Der CVSS-Vektor setzt eine Benutzerinteraktion voraus, etwa den Aufruf der Seite durch den Benutzer. Chromium stuft das Problem als High ein, der CVSS-Score der CNA beträgt 9.6 (Critical).
Betroffen
- Google Chrome vor 155.0.8059.39 (Desktop, Windows, macOS und Linux)
- Chromium-basierte Browser (zum Beispiel Microsoft Edge, Brave), die den Fix noch nicht übernommen haben: Unbekannt.
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Stable-Update vom 6. Oktober 2026). Chrome Releases nennt 155.0.8059.39/.40 für Windows und macOS sowie 155.0.8059.39 für Linux. Malwarebytes nennt abweichende Build-Nummern; bitte auf dem Chrome-Releases-Beitrag prüfen.
- Debian bookworm: 155.0.8059.39-1~deb12u1
Umgehung
Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt. Das Aktualisieren des Browsers ist die erforderliche Massnahme.
Ausnutzung
- Zum Zeitpunkt der Erfassung ist keine aktive Ausnutzung bekannt. Die CISA ADP-Auswertung markiert die CVE nicht als bekannt ausgenutzt; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden. Öffentliche Fehlerdetails können bis zur weitgehenden Aktualisierung eingeschränkt sein.
Unsere Empfehlung
- Alle Chrome-Installationen auf 155.0.8059.39 oder neuer bzw. einen neueren Stable-Build aktualisieren und die Version auf jedem verwalteten Endgerät prüfen.
- Browser-Updates zentral erzwingen, zum Beispiel mit Chrome-Enterprise-Richtlinien.
- Chromium-basierte Browser wie Edge und Brave auf ihre eigenen Fix-Daten prüfen.
- Den CISA-KEV-Katalog und den Chromium-Bug-Tracker auf Änderungen des Ausnutzungsstatus prüfen.
- Priorität: hoch für KMU, da die Schwachstelle aus der Ferne ausnutzbar ist und jede surfende Person betroffen sein kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-102322 osv.dev
- CISA ADP VulnRichment record (HOL Guard) hol.org
- Vulmon vulnerability details vulmon.com
- Malwarebytes: update Chrome to fix critical security issues www.malwarebytes.com
- BleepingComputer: Google releases Chrome 155 with 247 security fixes www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.