Google Chrome: Type Confusion in ANGLE ermöglicht Sandbox-Ausbruch
Zusammenfassung
Type Confusion in ANGLE, der Grafik-Übersetzungsschicht von Google Chrome vor 155.0.8059.39 (CVE-2026-106293, CWE-843). Ein Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann möglicherweise Code ausserhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Chromium stuft die Lücke als High ein, der CVSS-3.1-Basiswert beträgt 8.3.
Betroffen
- Google Chrome (Desktop) vor 155.0.8059.39
- Chromium-basierte Browser (Edge, Brave, Opera usw.): Unbekannt.
Behoben in
- Google Chrome 155.0.8059.39 für Linux
- Google Chrome 155.0.8059.39/.40 für Windows und macOS (gemäss Sekundärquellen; anhand der Chrome-Advisory prüfen)
- Spätere stabile Versionen 155.0.8059.79/.80 (Windows, macOS) und 155.0.8059.79 (Linux) wurden am 13. Oktober 2026 gemeldet. Die neueste stabile Version installieren.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers bekannt. Das Update einspielen.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird. Der CISA-KEV-Katalog führt sie nicht auf.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Sicherstellen, dass auf allen Chrome-Installationen die neueste stabile Version läuft und das automatische Update nicht deaktiviert ist.
- Endpunkte mit verspäteten Updates priorisieren.
- Chromium-basierte Browser und Linux-Pakete separat prüfen.
- Die Chrome-Versionen auf allen Endgeräten inventarisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 547343108 issues.chromium.org
- OSV: DEBIAN-CVE-2026-106293 osv.dev
- Red Hat RHSA-2026:91636 access.redhat.com
- SUSE CVE-2026-106293 (vulners) vulners.com
- Malwarebytes: Update Chrome to fix critical security issues www.malwarebytes.com
- CIS advisory: Google Chrome vulnerabilities (October 2026) www.cisecurity.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.