Google Chrome: Use-after-free in V8 erlaubt Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der JavaScript-Engine V8 von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite aufruft, zum Beispiel über einen Link in einer Phishing-E-Mail oder eine schädliche Webseite. Codeausführung innerhalb der Sandbox allein ergibt noch keine vollständige Kontrolle über das System; dafür wäre ein separater Sandbox-Escape nötig.
Betroffen
- Google Chrome vor 155.0.8059.39
- Chromium-basierte Produkte, die diesen Fix übernehmen, zum Beispiel Microsoft Edge, müssen separat geprüft werden
Behoben in
- Chrome 155 Stable-Channel-Update vom 6. Oktober 2026, Build 155.0.8059.39 oder neuer (Linux)
- Die Build-Nummern für Windows und Mac werden in den Quellen unterschiedlich angegeben; mit dem Herstellerbeitrag abgleichen
Umgehung
- Keine Workaround-Massnahme dokumentiert. Die korrigierte Chrome-Version installieren.
Ausnutzung
- Nicht als in freier Wildbahn ausgenutzt bekannt. CISA SSVC (über ADP): Exploitation none, Automatable no.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf 155.0.8059.39 oder neuer aktualisieren und die installierte Version überprüfen.
- Updates zentral über Chrome-Enterprise-Richtlinien oder das Endpoint-Management-Werkzeug erzwingen.
- Microsoft Edge und andere Chromium-basierte Anwendungen und Komponenten auf die korrigierte Version prüfen.
- Als hochprioritäres Browser-Update behandeln, nicht als Notfall.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OpenCVE: CVE-2026-106349 app.opencve.io
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
- gHacks: Google releases Chrome 155 with 247 security fixes www.ghacks.net
- GBHackers: Chrome 155 security flaws gbhackers.com
- Vulners: MS:CVE-2026-106349 vulners.com
- HOL: CVE-2026-106349 CISA ADP Vulnrichment hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.