Google Chrome: Speicherfehler in V8 ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 155.0.8059.84 enthalten einen Speicherfehler in der JavaScript-Engine V8 (CWE-119). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die schädliche Seite öffnen, zum Beispiel über einen Phishing-Link, Privilegien sind nicht erforderlich. Google stuft den Chromium-Sicherheitsschweregrad als High ein, und NVD bewertet den CVSS-Wert mit 8.8.
Betroffen
- Google Chrome vor 155.0.8059.84 (Desktop)
- Chromium-basierte Builds, die den betroffenen V8-Code enthalten, bis deren eigene Patches installiert sind
Behoben in
- Google Chrome 155.0.8059.84 oder neuer für Linux
- Google Chrome 155.0.8059.84/.85 oder neuer für Windows und Mac (gemäss den Versionshinweisen des Herstellers; die genauen Builds im Advisory prüfen)
- Fedora: chromium-155.0.8059.84
- Ubuntu: prüfen, ob das Chromium-Snap aktuell ist
Umgehung
Unbekannt. Das Aktualisieren ist die Behebung. Den Browser nach dem Update neu starten, da die Behebung erst nach einem Neustart wirksam wird.
Ausnutzung
- Nicht als in freier Wildbahn ausgenutzt bestätigt; Google hat keine Ausnutzung angegeben.
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden; dies ist unverifiziert und nicht als nicht vorhanden bestätigt.
Unsere Empfehlung
- Chrome auf allen Arbeitsstationen auf 155.0.8059.84 oder neuer aktualisieren und die Browser neu starten.
- Linux-Pakete und, falls verwendet, das Chromium-Snap aktualisieren.
- Prüfen, ob Edge, Brave und andere Chromium-basierte Browser ihre eigenen Patches erhalten haben.
- Benutzer priorisieren, die externe oder nicht vertrauenswürdige Inhalte aufrufen, und Mitarbeitende für Vorsicht bei unbekannten Links sensibilisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 569659194 issues.chromium.org
- Ubuntu security tracker: CVE-2026-110920 ubuntu.com
- Vulners Debian CVE record: CVE-2026-110920 vulners.com
- OpenCVE: CVE-2026-110920 app.opencve.io
- Cybersecurity News: Google fixes 10 Chrome vulnerabilities cybersecuritynews.com
- Chrome 155.0.8059.84 fixes write-up dijitalturk.com
- Chrome Enterprise: release channels support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.