Google Chrome: Speicherbeschädigung in CSS ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome Desktop-Versionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der CSS-Verarbeitung. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen, wenn ein Benutzer die Seite öffnet. Die Ausnutzung erfordert eine Benutzerinteraktion, etwa das Öffnen eines bösartigen Links, und die Quellen beschreiben kein Ausbrechen aus der Sandbox. Auch Chromium-basierte Browser können den Fehler übernehmen.
Betroffen
- Google Chrome Desktop (Windows, macOS, Linux) vor 156.0.8078.47
- Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten
- Hinweis: Der betroffene Bereich im CVE-Eintrag ist widersprüchlich (156.0.8078.47 bis < 156.0.8078.47); VulDB nennt bis 155.0.8059.84
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Windows und macOS: 156.0.8078.48 oder neuer (im Hersteller-Beitrag nicht bestätigt)
- Empfohlen wird der neueste Stable-Build; neuere Stable-Builds (laut Quellen 156.0.8078.79 oder neuer) sind verfügbar
Umgehung
Kein Workaround. Update installieren und den Browser neu starten, damit die Korrektur wirksam wird.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; ein Tracker führt den Eintrag nicht im CISA-KEV-Katalog, was direkt überprüft werden muss.
- In unseren Recherchen wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
- Ein Aggregator nennt EPSS 0.00417.
Unsere Empfehlung
- Prüfen, ob alle Chrome- und Edge-Installationen auf 156.0.8078.47 oder neuer laufen (Windows/macOS: 156.0.8078.48 oder neuer), idealerweise auf dem neuesten 156.x-Build.
- Sicherstellen, dass Browser nach dem Update vollständig neu gestartet werden.
- Updates auf verwalteten und BYOD-Geräten über die Verwaltungslösung erzwingen.
- Weitere Chromium-basierte oder eingebettete Browser-Produkte von Lieferanten prüfen.
- CISA KEV und den Chromium-Fehler auf Statusänderungen überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 560664595 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-112997 msrc.microsoft.com
- VulDB entry 423060 vuldb.com
- Vulners CVE list entry vulners.com
- GitHub CVE tracker issue 2646 github.com
- TechSpot Google Chrome download page www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.