Google Chrome für iOS: Unzureichende Eingabevalidierung ermöglicht Codeausführung
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Komponente Mobile von Google Chrome für iOS (vor 155.0.8059.39) kann von einem entfernten Angreifer ausgenutzt werden. Ein Benutzer muss dafür durch Social Engineering dazu gebracht werden, eine präparierte HTML-Seite zu öffnen. Erfolgreich könnte der Angreifer möglicherweise beliebigen Code ausserhalb der Sandbox von Chrome ausführen. NVD stuft die Lücke mit 9.6 als kritisch ein, Google bewertet sie als mittel.
Betroffen
- Google Chrome für iOS vor 155.0.8059.39 (gemäss CVE-Beschreibung)
- Die Versionsangaben für iOS widersprechen sich in den Quellen; der Build im App Store sollte direkt geprüft werden
Behoben in
- Behoben in Chrome 155.0.8059.39 gemäss CVE-Eintrag; der iOS-Build mit der Korrektur ist vom Hersteller nicht bestätigt
- 155.0.8059.37 nicht als behoben betrachten, bis dies bestätigt ist
- Die neueste Chrome-Version aus dem App Store installieren
Umgehung
- Keine Workaround-Massnahme dokumentiert. Das Update installieren.
- Unbekannte Links nicht öffnen und bei Seiten, die unerwartete Aktionen verlangen, vorsichtig sein.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt. Der CISA-KEV-Katalog sollte zur Bestätigung geprüft werden.
Unsere Empfehlung
- Chrome auf iOS- und iPadOS-Geräten inklusive BYOD-Geräten inventarisieren und die Versionen erfassen.
- Chrome über den App Store auf den neuesten Build aktualisieren, nicht nur auf 155.0.8059.39.
- Updates für verwaltete Geräte über MDM erzwingen.
- Mitarbeitende für Phishing und schädliche Links sensibilisieren.
- Den CISA-KEV-Katalog und die Hinweise von Google auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop (6 October 2026) chromereleases.googleblog.com
- Chromium issue tracker entry 504223609 issues.chromium.org
- OSV: DEBIAN-CVE-2026-106414 osv.dev
- CISA ADP Vulnrichment mirror for CVE-2026-106414 hol.org
- SUSE CVE entry for CVE-2026-106414 vulners.com
- Horus Valley: how to update Chrome after Chrome 155 www.horusvalley.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.