Google Chrome: Use-after-free in Workers ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Workers von Google Chrome vor 156.0.8078.47 kann aus der Ferne ausgenutzt werden. Ein Angreifer kann beliebigen Code innerhalb der Browser-Sandbox ausführen, wenn er einen Benutzer dazu bringt, eine präparierte HTML-Seite aufzurufen; eine Authentifizierung ist nicht erforderlich. Die Quellen beschreiben nur die Codeausführung innerhalb der Sandbox; für eine vollständige Kompromittierung wäre wahrscheinlich eine weitere Sandbox-Escape-Schwachstelle nötig, was eine Vermutung und nicht bestätigt ist.

Betroffen

• Google Chrome vor 156.0.8078.47 (Beschreibung in der NVD)
• Der offizielle CVE-Eintrag nennt einen widersprüchlichen Bereich (156.0.8078.47 bis < 156.0.8078.47); hier wird die Beschreibung in der NVD verwendet.
• Chromium-basierte Browser, die den Chromium-Fix übernehmen, einschliesslich Microsoft Edge laut Microsoft

Behoben in

• Google Chrome 156.0.8078.47 (Linux) sowie 156.0.8078.47/.48 (Windows und Mac) laut HKCERT
• Spätere Version am 27. Oktober 2026 (156.0.8078.73/.74 für Windows und Mac, 156.0.8078.73 für Linux) laut einer Sekundärquelle; nicht mit dem Herstellerbeitrag verifiziert
• Debian hat DSA 6577-1 und DLA 4853-1 für Chromium herausgegeben; das Paket chromium-browser von Ubuntu ist nicht betroffen, da es das Chromium-Snap installiert, das den Update-Pfad darstellt

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Die Behebung erfolgt durch das Browser-Update; Chrome übernimmt es erst nach einem Neustart.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Keine Ausnutzung in freier Wildbahn in den Recherchen gefunden
• Laut einer Sekundärquelle nicht im CISA KEV; nicht direkt geprüft
• Kein öffentlicher Proof of Concept in einer begrenzten Recherche gefunden
• Chromium stuft die Schwere als niedrig ein; der CVSS-Basiswert beträgt 8.8

Unsere Empfehlung

• Google Chrome auf die neueste stabile Version aktualisieren, nicht nur auf 156.0.8078.47, und den Browser neu starten.
• Microsoft Edge und weitere Chromium-basierte Anwendungen aktualisieren.
• Automatische Updates über eine verwaltete Richtlinie erzwingen.
• Die Browserversion auf allen Endgeräten prüfen, einschliesslich Shared- und Kiosk-Systemen, und Arbeitsstationen priorisieren.
• Das Aufrufen nicht vertrauenswürdiger Seiten wo möglich einschränken und auf Phishing-Links achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Microsoft Security Update Guide: CVE-2026-113015 msrc.microsoft.com
• HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
• NVD mirror on Vulners: CVE-2026-113015 vulners.com
• Ubuntu security tracker: CVE-2026-113015 ubuntu.com
• Chrome security update guide, October 2026 (secondary) sandbanksdigital.com
• GitHub vulnerability alert issue: CVE-2026-113015 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:54.