Google Chrome: Type Confusion in V8 ermöglicht Code-Ausführung in der Sandbox
Zusammenfassung
Chrome-Versionen vor 154.0.8037.97 enthalten eine Type-Confusion-Schwachstelle in der JavaScript-Engine V8 (CVE-2026-103625, CVSS 8.8). Ein Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Dafür muss der Benutzer die Seite besuchen; für eine vollständige Kompromittierung ist zusätzlich ein Ausbruch aus der Sandbox nötig.
Betroffen
- Google Chrome vor 154.0.8037.97 (Desktop)
- Chromium-basierte Browser und Debian-chromium-Pakete hängen von der jeweiligen V8-Version ab; Advisories der Hersteller prüfen
- Der Wertebereich im CVE-Eintrag lautet "154.0.8037.97 bis < 154.0.8037.97" und ist widersprüchlich; die Beschreibung nennt "vor 154.0.8037.97"
Behoben in
- Google Chrome 154.0.8037.97 (Windows, Mac und Linux, gemäss Stable-Update von Google vom 1. Oktober 2026; der Auszug nennt die CVE nicht namentlich)
- Google Chrome 154.0.8037.151 oder neuerer Chrome-154-Stable-Build (späteres ChromeOS-Update vom 9. Oktober 2026)
- Debian chromium 155.0.8059.39-1~deb12u1 für bookworm
Umgehung
Unbekannt. Keine Workaround des Herstellers gefunden. Bis zum Patch das Surfen auf vertrauenswürdige Seiten beschränken.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no
- Kein öffentlicher Proof-of-Concept gefunden
- EPSS ist tief (0.00317 im Vulners-Snapshot)
- Nicht zu verwechseln mit CVE-2026-85046, einer separaten V8-Type-Confusion-Lücke, die aktiv ausgenutzt wurde
Unsere Empfehlung
- Alle Chrome-Installationen auf den neuesten Chrome-154-Stable-Build (oder aktuellen Stable-Build) aktualisieren und die Version auf jedem Endgerät prüfen
- Prüfen, ob Edge, Brave, Opera und andere Chromium-basierte Browser sowie eingebettete Chromium-Anwendungen aktualisiert sind
- Automatische Browser-Updates aktivieren und den Patch-Status überwachen
- Priorität hoch für Arbeitsplätze, tief für Server, sofern dort kein Browser oder Chromium-basierte Kiosk-Anwendung läuft
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Stable Channel Update for Desktop (1 Oct 2026) chromereleases.googleblog.com
- Google Chrome Stable Channel Update for ChromeOS (9 Oct 2026) chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OSV record for Debian (DEBIAN-CVE-2026-103625) osv.dev
- NVD/CVE data via Vulners vulners.com
- Rapid7 summary via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.