Google Chrome: Fehlerhafte Autorisierung ermöglicht Umgehung der Site Isolation
Zusammenfassung
Google Chrome enthält in seiner Actor-Komponente eine fehlerhafte Autorisierung, erfasst als CVE-2026-106199. Gemäss CVE-Beschreibung könnte ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, mit einer präparierten HTML-Seite die Site Isolation potenziell umgehen. Der Chromium-Sicherheitsschweregrad wird als niedrig eingestuft, der NVD-CVSS-Wert von 8.2 spiegelt die Verkettung mit einem separaten Browser-Exploit wider.
Betroffen
- Google Chrome auf Android vor 155.0.8059.39 (gemäss CVE-Beschreibung)
- Der Desktop-Umfang ist unbestätigt: CIS nennt Chrome vor 155.0.8059.39/.40 für Windows und Mac
- Chromium-Pakete in Debian: vor 155.0.8059.39-1~deb12u1
- Microsoft Edge (Chromium-basiert): Eine Tenable-Auflistung nennt Edge vor 155.0.4283.62
Behoben in
- Chrome für Android: 155.0.8059.39 oder neuer
- Chrome Desktop: 155.0.8059.39/.40 oder neuer (Sekundärquellen)
- Spätere stabile Builds existieren, z. B. 155.0.8059.79/.80 für Windows und Mac, 155.0.8059.79 für Linux (Malwarebytes, 13.-14. Okt. 2026)
- Ubuntu: chromium-browser-Pakete als nicht betroffen markiert (Snap-Paketierung)
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Nicht nötig, wo ein gepatchter Build installiert ist.
- Für verwaltete Geräte automatische Updates über Google Play (Android) bzw. den Update-Kanal des Browsers (Desktop) erzwingen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- CIS meldet keine bekannte Ausnutzung für diese Gruppe von Chrome-Fehlern.
- Kein öffentlicher Proof-of-Concept gefunden. VulDB meldet keinen verfügbaren Exploit.
- EPSS-Werte sind niedrig (0.21% auf GitHub, 0.00248 auf Vulners).
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf den neuesten 155.x-Build aktualisieren, nicht nur auf die Mindestversion.
- Automatische Browser-Updates auf verwalteten Android- und Desktop-Geräten erzwingen.
- Browserversionen auf allen Endgeräten, einschliesslich mobiler Geräte, prüfen.
- Herstellerwarnungen auf neue Hinweise zur Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chrome Releases: Chrome for Android update chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Debian OSV osv.dev
- Ubuntu security notice ubuntu.com
- CIS advisory www.cisecurity.org
- VulDB vuldb.com
- Malwarebytes: Chrome fixes 37 security flaws www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.