Google Chrome: Use-after-free in Turbolev ermöglicht Codeausführung in der Sandbox
Zusammenfassung
In Google Chrome liegt eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Turbolev vor. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der CVSS-Wert beträgt 8.8 (hoch). Der Angriff setzt voraus, dass das Opfer die manipulierte Seite besucht, beispielsweise über einen Link in einer E-Mail oder auf einer Website.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Android Chrome-Versionen vor 156.0.8078.47 (gemäss Sekundärquellen)
- iOS: Unbekannt. Die Quellen widersprechen sich (156.0.8078.46 oder 156.0.8078.54).
- Microsoft Edge: laut HKCERT in Version 156.0.4314.42 oder neuer behoben (Sekundärquelle)
- Hinweis: CVE-2026-118350 beschreibt dieselbe Turbolev-Schwachstelle mit der Korrekturversion 156.0.8078.73. Das Verhältnis zu dieser CVE ist unklar.
Behoben in
- Desktop: 156.0.8078.47 (Linux) sowie 156.0.8078.47/.48 (Windows, macOS), gemäss Sekundärquellen. Gegen den Chrome-Releases-Beitrag prüfen.
- Android: 156.0.8078.47 oder neuer (gemäss Sekundärquellen)
- Zusätzlich für CVE-2026-118350: 156.0.8078.73 oder neuer (gemäss Sekundärquellen)
Umgehung
Kein Workaround dokumentiert. Das Update installieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Die CVE ist laut Sekundärquelle nicht im CISA-KEV-Katalog aufgeführt. EPSS: Unbekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Chrome auf allen Desktop- und Mobilgeräten auf die aktuelle stabile Version aktualisieren, vorsorglich mindestens auf 156.0.8078.73.
- Den Browser nach dem Update neu starten, da laufende Browserprozesse noch die alte Version verwenden können.
- Die Browserversion auf allen Endgeräten prüfen, auch dort, wo automatische Updates blockiert sind.
- Prüfen, ob chromiumbasierte Browser wie Microsoft Edge ebenfalls aktualisiert sind.
- Den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 570003644 issues.chromium.org
- Vulners: CVE-2026-113019 vulners.com
- Ubuntu security: CVE-2026-113019 ubuntu.com
- HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Penligent: Chrome 156 security update www.penligent.ai
- TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
- GitHub astruzocyber/CVE issue 3413 (CVE-2026-118350) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.