Google Chrome: Fehlerhafte Autorisierung in der Suche ermöglicht Codeausführung ausserhalb der Sandbox
Zusammenfassung
Google Chrome auf Android vor 155.0.8059.39 enthält eine fehlerhafte Autorisierung in der Suche (CWE-863, CVE-2026-106241). Ein entfernter Angreifer, der einen Benutzer per Social Engineering dazu bringt, eine präparierte HTML-Seite zu öffnen, könnte potenziell beliebigen Code ausserhalb der Chrome-Sandbox ausführen. Google stuft das Problem als Medium ein, während der NVD-Score 9.6 (Critical) beträgt; eine Ausnutzung wurde nicht gemeldet.
Betroffen
- Google Chrome auf Android vor 155.0.8059.39
- Desktop-Versionen: Tenable listet Windows und Mac als betroffen, die genaue korrigierte Desktop-Version konnte aber nicht aus dem Hersteller-Advisory bestätigt werden
- Linux-Distributionen: Debian chromium vor 155.0.8059.39-1~deb12u1; Chainguard/Wolfi vor 155.0.8059.39-r0
Behoben in
- Android: 155.0.8059.39 oder neuer
- Debian: 155.0.8059.39-1~deb12u1
- Chainguard/Wolfi: 155.0.8059.39-r0
- Desktop: auf die aktuelle Stable-Version aktualisieren; die genaue korrigierte Version im Chrome-Releases-Advisory prüfen
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Das Einspielen des Updates ist die Behebung.
Ausnutzung
- CISA SSVC (Vulnrichment): Ausnutzung none, automatisierbar no, technische Auswirkung total.
- EPSS unter 1%.
- Keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Chrome auf allen Desktops und Android-Geräten auf 155.0.8059.39 oder neuer aktualisieren und die installierte Version prüfen, statt sich nur auf die automatische Aktualisierung zu verlassen.
- Geräte mit Rückstand bei Updates und nicht verwaltete Android-Telefone priorisieren, da Google Play Updates schrittweise ausrollt.
- Sicherstellen, dass Benutzer keine unbekannten Links öffnen, und auffällige Browseraktivitäten überwachen.
- Priorität: mittel, Behandlung im normalen Browser-Update-Zyklus.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106241 osv.dev
- OpenCVE: CVE-2026-106241 app.opencve.io
- Chainguard/Wolfi advisory via Vulners vulners.com
- VulDB: CVE-2026-106241 vuldb.com
- Malwarebytes: Update Chrome to fix critical security issues www.malwarebytes.com
- Tenable Nessus plugin 363364 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.