Google Chrome: Use after Free in WindowControlsOverlay
Zusammenfassung
Ein Use-after-Free-Fehler in der Funktion WindowControlsOverlay von Google Chrome erlaubt einem Angreifer aus der Ferne, Code innerhalb der Sandbox des Browsers auszuführen. Der Angriff setzt voraus, dass das Opfer eine präparierte HTML-Seite öffnet und damit interagiert (Benutzerinteraktion erforderlich). CISA SSVC stuft den Ausnutzungsstatus als Proof of Concept ein und die Automatisierbarkeit als 'nein'.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Sekundärquellen nennen Chrome bis 155.0.8059.84 als betroffen; dies widerspricht dem CVE-Text und ist nicht bestätigt.
Behoben in
- Google Chrome 156.0.8078.47 für Linux (gemäss Sekundärquellen)
- Google Chrome 156.0.8078.47/.48 für Windows und macOS (gemäss Sekundärquellen)
- Android-Chrome-Builds vor 156.0.8078.47 (gemäss Sekundärquellen)
- Die genauen Versionen im Chrome-Releases-Beitrag von Google prüfen; dieser konnte für diese Analyse nicht abgerufen werden.
Umgehung
- Unbekannt. Für diese spezifische Schwachstelle wurde kein Workaround oder keine Massnahme des Herstellers gefunden; das Update ist die Behebung.
- Den Browser nach dem Update neu starten, da der alte Browserprozess noch laufen kann.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc' (Proof of Concept), Automatisierbarkeit 'nein', technische Auswirkung 'total'.
- In den vorliegenden Quellen wurde kein Hinweis auf aktive Ausnutzung gefunden.
Unsere Empfehlung
- Google Chrome auf allen Desktop- und Android-Geräten ohne Verzug auf Version 156.0.8078.47 oder neuer aktualisieren.
- Den Browser nach dem Update neu starten, damit die Behebung wirksam wird.
- Chromium-basierte Browser (zum Beispiel Microsoft Edge und andere Forks) auf eigene Updates prüfen.
- Die installierten Versionen zentral überprüfen, zum Beispiel über das Endpoint-Management.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Vulners: CVE-2026-113009 record vulners.com
- VulDB: CVE-2026-113009 vuldb.com
- Cybersecurity News: Chrome 156 security update cybersecuritynews.com
- Vulners: Microsoft advisory MS:CVE-2026-113009 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.