Google Chrome: Type Confusion in V8 ermöglicht Codeausführung in Sandbox

Zusammenfassung

Google Chrome vor 155.0.8059.39 enthält einen Type-Confusion-Fehler in der JavaScript-Engine V8 (CWE-843). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der Angriff erfordert, dass der Benutzer die Seite aufruft, beispielsweise über einen Link in E-Mail oder Chat. Die Codeausführung beschränkt sich laut Herstellerangabe auf die Sandbox; ein Sandbox-Escape wird nicht beschrieben.

Betroffen

• Google Chrome Versionen vor 155.0.8059.39 (CVE-Beschreibung)
• Chrome-Desktop-Versionen für Windows, Mac und Linux sind betroffen

Behoben in

• Chrome 155.0.8059.39 (Linux) sowie 155.0.8059.39/.40 (Windows, Mac), Stable-Update vom 6. Oktober 2026
• Empfohlen: Chrome 155.0.8059.79 oder neuer (Stable-Update vom 13. Oktober 2026 enthält den früheren Fix)

Umgehung

Unbekannt. Kein Workaround des Herstellers gefunden; das Einspielen des Updates ist die Massnahme.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung
• Nicht im KEV-Katalog der CISA gelistet; in der Recherche kein öffentlicher Proof of Concept gefunden
• Google meldet laut primärer Mitteilung keine Angriffe in freier Wildbahn (in der primären Meldung nicht bestätigt; nur Sekundärberichte)

Unsere Empfehlung

• Chrome-Versionen auf allen Endgeräten inventarisieren und alles unterhalb 155.0.8059.79 markieren
• Chrome innerhalb des üblichen Browser-Patchzyklus (innert Tagen) auf 155.0.8059.79 oder neuer aktualisieren
• Auch Microsoft Edge und andere Chromium-basierte Browser auf Updates prüfen
• Automatische Updates aktivieren und den Browser nach dem Patchen neu starten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop (6 October 2026) chromereleases.googleblog.com
• OSV: DEBIAN-CVE-2026-106240 osv.dev
• Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
• Malwarebytes: Chrome update fixes 37 security flaws, including seven critical bugs www.malwarebytes.com
• OpenCVE: CVE-2026-106240 app.opencve.io
• CISA ADP Vulnrichment summary (HOL Guard) hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:07.