Google Chrome: Use-after-free in der JavaScript-Engine V8
Zusammenfassung
Eine Use-after-free-Schwachstelle in der JavaScript-Engine V8 von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dafür muss ein Benutzer eine präparierte HTML-Seite öffnen. NVD bewertet die Schwachstelle mit 8.8 (hoch), Google stuft sie als hoch kritisch ein.
Betroffen
- Google Chrome Desktop vor 155.0.8059.84 (Windows, macOS, Linux)
- Chromium-basierte Browser können betroffen sein; ihr Patch-Status ist unbekannt.
Behoben in
- Google Chrome 155.0.8059.84 (Linux) sowie 155.0.8059.84/.85 (Windows, macOS), gemäss dem Stable Channel Update for Desktop vom 15. Oktober 2026
- Debian listet chromium 156.0.8078.47 für Debian 12 und 13.
Umgehung
Keine bekannt. Die Installation des Herstellerupdates ist die Massnahme.
Ausnutzung
- Google hat keine aktive Ausnutzung gemeldet.
- Nicht im KEV-Katalog der CISA gelistet.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- EPSS liegt bei etwa 0.0025.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Prüfen Sie, ob alle Chrome-Installationen Version 155.0.8059.84 oder neuer verwenden.
- Klären Sie beim Hersteller den Patch-Status von Edge, Brave, Opera und weiteren Chromium-basierten Browsern.
- Prüfen Sie Linux-Chromium-Installationen und Snap-Updates separat.
- Installieren Sie das Update im üblichen Patch-Fenster für Browser, zusammen mit den übrigen Korrekturen dieses Release.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 568831769 issues.chromium.org
- Vulnrichment CVE-2026-110919 vulners.com
- Ubuntu security CVE-2026-110919 ubuntu.com
- Debian CVE tracker CVE-2026-110919 vulners.com
- OpenCVE CVE-2026-110919 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.