Google Chrome: Speicherbeschädigung im DOM ermöglicht Codeausführung in Sandbox

Zusammenfassung

Google Chrome vor 155.0.8059.84 enthält eine Speicherbeschädigung im DOM (CWE-119). Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der Angriff setzt voraus, dass ein Benutzer die bösartige Seite besucht. Die Schwachstelle hat einen CVSS-Wert von 8.8 (hoch), und Chromium stuft sie als Schweregrad hoch ein.

Betroffen

• Google Chrome Desktop-Versionen vor 155.0.8059.84 (gemäss CVE-Beschreibung).
• Sekundäre Quellen nennen Windows-, Mac- und Linux-Builds als betroffen; nicht gegen die Herstellerankündigung verifiziert.
• Ubuntu führt sein Paket chromium-browser als nicht betroffen, da es sich um einen Snap-Wrapper handelt.
• Andere Chromium-basierte Browser (Edge, Brave, Opera) müssen anhand ihrer eigenen Versionshinweise geprüft werden.

Behoben in

• Google Chrome 155.0.8059.84 (Linux) sowie 155.0.8059.84 oder 155.0.8059.85 (Windows und Mac) gemäss sekundären Quellen, veröffentlicht am 15. Oktober 2026.
• Der Chrome-Releases-Beitrag für den stabilen Kanal führt die Behebung auf, die genauen Build-Nummern für diese CVE konnten jedoch nicht dagegen verifiziert werden.

Umgehung

• Keine vom Hersteller dokumentierte Umgehungsmassnahme. Browser aktualisieren und vollständig neu starten.

Ausnutzung

• Keine bekannte Ausnutzung. Die Release-Tabelle von Google führt die CVE als "Not exploited"; die CISA-SSVC-Daten zeigen Exploitation: none und Automatable: no.
• Gemäss einem GitHub-Tracker nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden. Google hält Fehlerdetails zurück, bis die meisten Benutzer aktualisiert haben.

Unsere Empfehlung

• Alle Chrome- und Chromium-basierten Browser-Installationen auf Mitarbeitergeräten inventarisieren.
• Sicherstellen, dass Chrome mindestens auf 155.0.8059.84 (bzw. dem passenden Build des jeweiligen Kanals) ist.
• Browser nach dem Update neu starten, da automatische Updates Tage oder Wochen dauern können.
• Bei verwalteten Geräten nicht allein auf das automatische Update vertrauen.
• Auch Chrome 156 oder neuer prüfen, da eine separate kritische Speicherbeschädigung im DOM (CVE-2026-119267) Versionen bis 156.0.8078.73 betrifft.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker 567638392 issues.chromium.org
• Ubuntu CVE page CVE-2026-110913 ubuntu.com
• OpenCVE CVE-2026-110913 app.opencve.io
• GBHackers: Chrome 155 security flaws gbhackers.com
• SecurityOnline: Chrome security update 155.0.8059.84 securityonline.info
• Chrome Geek: Chrome 155 stable security update www.chromegeek.com
• VulDB CVE-2026-119267 (related Chrome DOM flaw) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:13.