Google Chrome: Use-after-free in Navigation ermöglicht Codeausführung
Zusammenfassung
Ein Use-after-free-Fehler in der Komponente Navigation von Google Chrome erlaubt einem Angreifer aus der Ferne, beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt keine Berechtigungen, das Opfer muss jedoch eine präparierte HTML-Seite öffnen. Der CVSS-3.1-Wert beträgt 9.6 (kritisch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Google Chrome Desktop-Versionen vor 155.0.8059.39 (gemäss CVE-Beschreibung)
- Chromium-basierte Browser und Pakete, die den betroffenen Chromium-Code enthalten, können betroffen sein, bis sie den Fix ausliefern
Behoben in
- Google Chrome 155.0.8059.39 für Windows und Linux, 155.0.8059.40 für Mac (Stable-Channel-Update vom 6. Oktober 2026)
- Auch spätere Stable-Builds enthalten den Fix; die neueste Stable-Version verwenden
- Chromium-basierte Browser und Linux-Distributionspakete: Verfügbarkeit des Fixes hängt vom jeweiligen Hersteller ab
Umgehung
Unbekannt. Der Hersteller veröffentlicht keinen Workaround. Das Aktualisieren und Neustarten des Browsers ist die praktische Massnahme.
Ausnutzung
- Gemäss vorliegenden Informationen nicht in freier Wildbahn ausgenutzt
- Nicht im Katalog Known Exploited Vulnerabilities der CISA aufgeführt
- CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein
- Kein öffentlicher Proof-of-Concept gefunden
Unsere Empfehlung
- Jede Chrome-Installation prüfen und sicherstellen, dass mindestens 155.0.8059.39 läuft (Mac: mindestens 155.0.8059.40), oder die neueste Stable-Version
- Browser auf Geräten mit ausstehenden Updates neu starten und Update-Richtlinien über das Verwaltungswerkzeug durchsetzen
- Chromium-basierte Anwendungen und eingebettete Laufzeitumgebungen separat erfassen und aktualisieren
- Den CISA-KEV-Katalog und die Stable-Channel-Updates von Google auf Änderungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
- OpenCVE: CVE-2026-106358 app.opencve.io
- HOL Guard: CVE-2026-106358 CISA ADP Vulnrichment hol.org
- Cybersecurity News: Chrome fixes 247 vulnerabilities cybersecuritynews.com
- GitHub: astruzocyber CVE issue 1206 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.