Google Chrome: Use-after-free in V8-JavaScript-Engine erlaubt Codeausführung in Sandbox
Zusammenfassung
Ein Use-after-free-Fehler in der V8-JavaScript-Engine von Google Chrome (CWE-416) erlaubt einem Angreifer aus der Ferne, Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer braucht eine Benutzerinteraktion: Das Opfer muss eine präparierte HTML-Seite öffnen, daher kann jede Webnutzung oder webbasierte E-Mail betroffen sein. Laut den Quellen handelt es sich um eine Codeausführung im Renderer-Sandbox; für eine vollständige Systemkompromittierung wäre eine separate Sandbox-Flucht nötig, die hier nicht beschrieben ist.
Betroffen
- Google Chrome vor 155.0.8059.79 (Desktop, gemäss CVE-Beschreibung)
- Ältere betroffene Versionszweige: Unbekannt.
- Andere Chromium-basierte Browser (z. B. Edge, Brave, Vivaldi): Unbekannt, beim Hersteller prüfen.
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (Chrome Releases, 13. Okt. 2026)
- Linux-Distributionen: Für exakte Paketversionen die Advisory der Distribution verwenden (z. B. liefert der Debian-Tracker 155.0.8059.79-1~deb12u1 für bookworm)
Umgehung
- Keine Workaround-Massnahme in den Quellen dokumentiert. Das Update ist die einzige gefundene Behebung.
- Browser nach dem Update neu starten, da eine lang laufende Sitzung den alten Code weiterhin geladen hat.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Gemäss einem Sekundäraggregator nicht im CISA-KEV-Katalog aufgeführt (nicht verifiziert).
- Kein öffentlicher Proof of Concept bekannt.
- In den gefundenen Quellen keine Ausnutzung in freier Wildbahn gemeldet.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf 155.0.8059.79 oder neuer aktualisieren und die laufende Version prüfen.
- Chrome nach dem Update neu starten.
- Das gesamte Chrome-155-Release einspielen, das 37 weitere Sicherheitsprobleme behebt.
- Chromium-basierte Browser und Linux-Pakete separat prüfen, da sie eigene Fixversionen haben können.
- Auf ungewöhnliche Browser-Abstürze oder Auffälligkeiten achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop (13 Oct 2026) chromereleases.googleblog.com
- Chromium bug 568010382 issues.chromium.org
- OSV: DEBIAN-CVE-2026-110168 osv.dev
- Ubuntu CVE page CVE-2026-110168 ubuntu.com
- Malwarebytes: Chrome 155 fixes 37 security flaws www.malwarebytes.com
- Vulners VULNRICHMENT:CVE-2026-110168 vulners.com
- Strix: CVE-2026-110168 www.strix.ai
- CVE-2026-110168 record (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.