Google Chrome: Use-after-free in WebRTC ermöglicht Codeausführung in Sandbox
Zusammenfassung
Ein Use-after-free-Fehler in der WebRTC-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass ein Benutzer eine präparierte HTML-Seite besucht. Google stuft die Lücke als hoher Schweregrad ein, der NVD-Basiswert beträgt 8.8.
Betroffen
- Google Chrome vor 155.0.8059.39
- Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten, bis sie aktualisiert sind
Behoben in
- Google Chrome 155.0.8059.39 (Windows, Mac und Linux, Stable Channel Update vom 6. Oktober 2026)
- Spätere stabile Chrome-Versionen enthalten die Korrektur ebenfalls
Umgehung
Unbekannt. Die Aktualisierung auf eine korrigierte Version wird empfohlen.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt
- Nicht im Katalog der CISA Known Exploited Vulnerabilities aufgeführt
- Google hat nicht angegeben, ob die Lücke ausgenutzt wird
- Kein öffentlicher Proof of Concept bekannt
Unsere Empfehlung
- Chrome auf allen Arbeitsplätzen auf die neueste stabile Version aktualisieren, einschliesslich Chromium-basierter Browser wie Microsoft Edge
- Über MDM oder Gruppenrichtlinien prüfen, dass die Flotte mindestens die korrigierte Version einsetzt und das automatische Update nicht blockiert ist
- Linux-Systeme auf Distributions-Updates des Chromium-Pakets prüfen
- Unerwartete Browser-Abstürze oder Sandbox-Meldungen auf gepatchten Geräten untersuchen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OpenCVE record CVE-2026-106357 app.opencve.io
- CISA SSVC via Hol.org (ADP Vulnrichment) hol.org
- Microsoft Edge multiple vulnerabilities, HKCERT www.hkcert.org
- MS-ISAC advisory 2026-109 (Google Chrome) www.cisecurity.org
- SUSE CVE record via Vulners vulners.com
- OffSeq threat radar: Chromium security update radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.