Google Chrome: Race Condition in V8-Engine ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 155.0.8059.39 enthalten eine Race Condition in der JavaScript-Engine V8. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass das Opfer die Seite öffnet; laut NVD-Beschreibung beschränkt sich die Auswirkung auf die Sandbox, und für eine vollständige Kompromittierung wäre normalerweise eine zweite Schwachstelle nötig.
Betroffen
- Google Chrome vor 155.0.8059.39
- Chromium-basierte Browser, die den betroffenen V8-Code enthalten (z. B. Microsoft Edge, je nach Version)
- Linux-Distributionspakete von Chromium mit Versionen vor dem behobenen Build
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows, Linux); 155.0.8059.39/.40 (Windows, Mac)
- Debian bookworm: 155.0.8059.39-1~deb12u1
- Edge: 155.0.4283.62 laut einem Tenable-Plugin, nicht gegen die Microsoft-Meldung verifiziert
Umgehung
- Unbekannt. Es ist kein Workaround dokumentiert; die Behebung erfolgt durch ein Update.
Ausnutzung
- Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden; CISA ADP Vulnrichment markiert die Schwachstelle nicht als bekannt ausgenutzt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf 155.0.8059.39 oder neuer aktualisieren und die Version im gesamten Bestand prüfen.
- Edge und andere Chromium-basierte Anwendungen auf den behobenen Build prüfen.
- Bei verzögerter automatischer Verteilung das Update über Über Google Chrome erzwingen.
- Priorität: hoch für Browser-Bestände, im Rahmen des normalen Patchzyklus, da keine bekannte Ausnutzung vorliegt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106255 osv.dev
- Vulners: CHAINGUARD:CVE-2026-106255 vulners.com
- Vulners: SUSECVE:CVE-2026-106255 vulners.com
- CISA ADP Vulnrichment (mirror) hol.org
- Tenable Edge plugin 366658 www.tenable.com
- gHacks: Google releases Chrome 155 www.ghacks.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.