Google Chrome V8: Race Condition ermöglicht Codeausführung in der Sandbox
Zusammenfassung
Eine Race Condition in der JavaScript-Engine V8 von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, eine Anmeldung ist nicht nötig. Chromium stuft die Schwachstelle als Medium ein, und die Codeausführung ist auf die Sandbox beschränkt, für eine vollständige Kompromittierung wäre zusätzlich ein Sandbox-Escape nötig, der für diese CVE nicht beschrieben ist.
Betroffen
- Google Chrome vor 155.0.8059.39
- Chromium-basierte Browser, die den betroffenen V8-Code enthalten (Versionsangaben für Microsoft Edge widersprechen sich zwischen den Quellen)
Behoben in
- Google Chrome 155.0.8059.39 (Windows, Linux) und 155.0.8059.39/.40 (Mac) gemäss Chrome-Releases-Mitteilung vom 6. Oktober 2026
- Debian chromium 155.0.8059.39-1~deb12u1 (bookworm)
- Microsoft Edge: korrigierte Version unbekannt; Mitteilung von Microsoft prüfen
Umgehung
- Unbekannt. Das Aktualisieren wird als Korrektur empfohlen; eine provisorische Massnahme ist nicht bestätigt.
Ausnutzung
- Gemäss CISA ADP Vulnrichment zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt bekannt. Den CISA-KEV-Katalog direkt prüfen.
- Kein öffentlicher Proof-of-Concept in den Recherchen gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle Installationen von Google Chrome, Chromium und Edge auf mindestens 155.0.8059.39 oder die Edge-Version von Microsoft aktualisieren.
- Über die Verwaltungswerkzeuge prüfen, dass automatische Updates funktionieren und kein Browser ausgelassen wird.
- Die aktuelle stabile Version installieren, die diese Korrektur und weitere Sicherheitskorrekturen desselben Releases enthält.
- Browser, die nicht automatisch aktualisiert werden, als dringlich behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106201 osv.dev
- OpenCVE: CVE-2026-106201 app.opencve.io
- CISA ADP Vulnrichment summary (HOL Guard) hol.org
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.