Google Chrome: Use-after-free in Core-Komponente ermöglicht Codeausführung
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der Core-Komponente von Google Chrome auf Android vor 155.0.8059.79 kann von einem entfernten Angreifer ausgenutzt werden. Über eine präparierte HTML-Seite kann potenziell beliebiger Code ausserhalb der Browser-Sandbox ausgeführt werden. Der NVD-CVSS-Wert beträgt 9.6 (kritisch), und der Hersteller stuft den Chromium-Sicherheitsschweregrad als Critical ein.
Betroffen
- Google Chrome auf Android vor 155.0.8059.79 (gemäss NVD-Beschreibung)
- Der Geltungsbereich auf anderen Plattformen ist unklar: Eine Sekundärquelle führt die Korrektur unter den Desktop-Core-Fixes auf, was anhand der Herstellerankündigung nicht bestätigt werden konnte
Behoben in
- Android: 155.0.8059.79 (Sekundärquellen; ein späterer Android-Build 155.0.8059.84 soll dieselben Korrekturen enthalten)
- Desktop: 155.0.8059.79/.80 (Windows und Mac), 155.0.8059.79 (Linux), gemäss Sekundärquellen
- Genaue Versionen anhand der Chrome-Releases-Ankündigung prüfen
Umgehung
- Unbekannt. Es wurde keine vom Hersteller bereitgestellte Massnahme gefunden; das Aktualisieren ist die Abhilfe.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
- Details zum Chromium-Fehler sind nicht öffentlich zugänglich.
Unsere Empfehlung
- Chrome auf Android auf 155.0.8059.79 oder neuer aktualisieren, idealerweise auf den neuesten stabilen Build.
- Desktop-Installationen von Chrome prüfen und ebenfalls auf die neueste stabile Version aktualisieren.
- Automatische Browser-Updates über Mobile-Device-Management oder Endpoint-Werkzeuge erzwingen.
- Installierte Versionen nach dem Update überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 568827293 issues.chromium.org
- OSV: DEBIAN-CVE-2026-110165 osv.dev
- Malwarebytes: Chrome fixes 37 security flaws www.malwarebytes.com
- Cybersecurity News: Multiple Google Chrome vulnerabilities cybersecuritynews.com
- CVE Brief archive, October 2026 cvebrief.com
- GitHub Advisory GHSA-cfcv-cjw8-r6j8 github.com
- CVE Threatint: CVE-2026-110165 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.