Google Chrome: Use-after-free in Select-Komponente ermöglicht Codeausführung
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält eine Use-after-free-Schwachstelle in der Select-Komponente (CWE-416). Ein entfernter Angreifer kann einen Benutzer per Social Engineering auf eine präparierte HTML-Seite locken und so beliebigen Code innerhalb der Browser-Sandbox ausführen. Die Beschreibung umfasst kein weiteres Ausbrechen aus der Sandbox, weshalb ein vollständiges Übernehmen des Systems allein durch einen Webbesuch nicht beschrieben ist. Das NVD bewertet die Schwachstelle mit CVSS 8.8 (hoch).
Betroffen
- Google Chrome Desktop vor 155.0.8059.39
- Auf Chromium basierende Browser mit demselben Select-Code (eigene Advisories prüfen)
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Stable-Update vom 6. Oktober 2026)
- Empfohlen wird der neueste Stable-Build, da spätere Chrome-Versionen ebenfalls Korrekturen enthalten
Umgehung
Unbekannt. Es wurde keine Herstellerumgehung identifiziert; das Update ist einzuspielen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total
- Nicht im CISA-KEV-Katalog aufgeführt
- Bei der Recherche wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden
Unsere Empfehlung
- Sicherstellen, dass alle Chrome-Installationen 155.0.8059.39 oder neuer, vorzugsweise den neuesten Stable-Build, verwenden
- Prüfen, ob automatische Updates funktionieren, da gestaffelte Ausrollungen die Korrektur auf einzelnen Geräten verzögern können
- Browser für Web- und E-Mail-Links priorisieren
- Auf Chromium basierende Browser und Linux-Distributionspakete separat anhand der eigenen Advisories prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OpenCVE: CVE-2026-106278 app.opencve.io
- Debian OSV entry osv.dev
- Chainguard via Vulners vulners.com
- CISA ADP Vulnrichment via HOL hol.org
- gHacks: Chrome 155 security fixes www.ghacks.net
- CIS advisory: Multiple vulnerabilities in Google Chrome www.cisecurity.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.