Google Chrome: Use-after-free in CSS ermöglicht Codeausführung in der Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der CSS-Komponente von Google Chrome vor 155.0.8059.39 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Das Opfer muss dazu gebracht werden, eine präparierte HTML-Seite zu öffnen, beispielsweise über einen Phishing-Link oder eine kompromittierte Website. NVD stuft die Lücke mit CVSS 8.8 (Hoch) ein, während Google sie in seiner Chromium-Skala als Niedrig einstuft.
Betroffen
- Google Chrome vor 155.0.8059.39
- Weitere Chromium-basierte Browser und Distributionen, bis sie den Fix ausliefern (z. B. Debian-, SUSE- oder Chainguard-Pakete)
Behoben in
- Google Chrome 155.0.8059.39 oder neuer
- Debian bookworm: 155.0.8059.39-1~deb12u1
- Microsoft Edge: den korrekten Build in den Versionshinweisen von Microsoft prüfen (Quellen widersprechen sich)
Umgehung
Unbekannt. Kein Workaround des Herstellers bekannt; das Aktualisieren ist die Behebung.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht im KEV-Katalog der CISA aufgeführt.
- CISA SSVC: exploitation none, automatable no, technical impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Google Chrome auf allen Arbeitsplätzen auf 155.0.8059.39 oder neuer aktualisieren, auch auf Laptops und Geräten von Remote-Mitarbeitenden.
- Prüfen, ob automatische Updates greifen, und die installierten Browserversionen kontrollieren.
- Weitere Chromium-basierte Browser und eingebettete Chromium-Builds (z. B. Edge, Electron-Apps) auf gefixte Versionen prüfen.
- Meldungen zu Ausnutzung beobachten und zügig patchen, da die Verbreitung breit ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 565742178 issues.chromium.org
- OSV: DEBIAN-CVE-2026-106269 osv.dev
- OpenCVE: CVE-2026-106269 app.opencve.io
- Vulners: Microsoft record CVE-2026-106269 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.