Google Chrome für iOS: Fehlende Autorisierung in Mobile-Komponente ermöglicht Informationsoffenlegung

Zusammenfassung

Eine fehlende Autorisierung in der Mobile-Komponente von Google Chrome für iOS ermöglicht einem entfernten Angreifer, sensible Informationen offenzulegen. Dafür muss ein Opfer eine präparierte HTML-Seite öffnen, typischerweise durch Social Engineering wie einen Phishing-Link. Laut CVE-Eintrag handelt es sich ausschliesslich um eine Informationsoffenlegung; eine Codeausführung wird nicht beschrieben.

Betroffen

• Google Chrome für iOS vor 155.0.8059.39 (gemäss CVE-Beschreibung)
• Unbekannt, ob der iOS-Build 155.0.8059.37 die Korrektur enthält

Behoben in

• Behoben in Chrome 155.0.8059.39 gemäss CVE-Eintrag
• Die neueste Chrome-Version aus dem App Store installieren; Chrome 156 (156.0.8078.33) wird für iOS laut Berichten ausgerollt
• Unbekannt, ob der iOS-Release 155.0.8059.37 abgedeckt ist

Umgehung

• Keine bekannte Herstellerumgehung. Das Aktualisieren von Chrome ist die Massnahme.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt
• OffSeq: im Umlauf nicht bekanntermassen ausgenutzt
• Kein öffentlicher Proof of Concept gefunden
• EPSS etwa 0.003 (0.319%)

Unsere Empfehlung

• Chrome auf allen iPhones und iPads auf die neueste App-Store-Version aktualisieren, nicht nur auf 155.0.8059.39
• Updates über MDM verteilen und die installierte Chrome-Version auf verwalteten Geräten prüfen
• Nicht aktualisierte Geräte als nicht konform behandeln, mit Priorität für Geräte mit sensiblen Daten und BYOD-Geräte mit Firmenkonten
• Benutzer vor Phishing-Links warnen und diese CVE zusammen mit weiteren Chrome-iOS-CVEs desselben Releases beurteilen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• OSV: DEBIAN-CVE-2026-106387 osv.dev
• Vulners: SUSECVE-CVE-2026-106387 vulners.com
• OffSeq Radar: Chromium CVE-2026-106387 radar.offseq.com
• CISA-ADP VulnRichment summary (HOL Guard) hol.org
• Releases.sh: Google Chrome releases.sh

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:45.