Google Chrome: Out-of-Bounds-Write in WebGL ermöglicht Codeausführung
Zusammenfassung
Google Chrome Desktop-Versionen vor 154.0.8037.97 enthalten einen Out-of-Bounds-Write in der WebGL-Komponente (CVE-2026-103628, CWE-787, CVSS 9.6 Critical). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code ausserhalb der Browser-Sandbox ausführen. Eine Anmeldung ist nicht nötig, das Opfer muss die Seite jedoch öffnen.
Betroffen
- Google Chrome Desktop-Builds (Windows, macOS, Linux) vor 154.0.8037.97
- Chromium-basierte Browser und Linux-Distributionspakete: Versionen aus den geprüften Quellen unbekannt
Behoben in
- Google Chrome 154.0.8037.97 (Linux); 154.0.8037.97 oder .98 (Windows, macOS), gemäss Sekundärberichten zur Herstellerversion
- Der aktuelle Stable-Kanal ist neuer (Chrome 155 und 156 sind veröffentlicht); installieren Sie die neueste Stable-Version
- Debian chromium: 155.0.8059.39-1~deb12u1
- Ubuntu chromium-browser ist ein Wrapper; prüfen Sie die Version des installierten Chromium-Snaps
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers. Das Aktualisieren ist die einzige bestätigte Behebung.
- WebGL nicht deaktivieren, ohne vorher mit dem Hersteller oder den Anwendungsverantwortlichen abzuklären.
Ausnutzung
- In freier Wildbahn: keine Hinweise bekannt. CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no. Nicht im CISA-KEV-Katalog.
- Öffentlicher Proof of Concept: aus den geprüften Quellen keiner bekannt.
- Technische Details zu den auslösenden WebGL-Aufrufen sind im offiziellen Eintrag nicht öffentlich.
Unsere Empfehlung
- Aktualisieren Sie Google Chrome auf allen Endgeräten auf den aktuellen Stable-Stand und prüfen Sie die Version auf jedem Gerät, auch auf nicht verwalteten Geräten und Kiosken.
- Stellen Sie sicher, dass der Browser nach dem Update neu gestartet wird (Relaunch), da die Behebung erst nach einem Neustart wirksam ist.
- Prüfen Sie, ob die automatischen Updates funktionieren.
- Aktualisieren Sie die Linux-chromium-Pakete und Chromium-basierte Browser (Edge, Brave, Opera) über deren Hersteller.
- Priorisieren Sie dieses Update im üblichen Zeitrahmen für kritische Updates, da die Verbreitung über Drive-by-Angriffe alle Benutzer mit Web-Zugriff betrifft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu Security: CVE-2026-103628 ubuntu.com
- OSV: Debian CVE-2026-103628 osv.dev
- OpenCVE: CVE-2026-103628 app.opencve.io
- SUSE CVE: CVE-2026-103628 vulners.com
- SecurityOnline: Chrome 154 security update securityonline.info
- GHacks: Chrome 155 release www.ghacks.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.