Google Chrome: Unzureichende Eingabevalidierung in Date erlaubt Codeausführung
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten einen Fehler bei der Eingabevalidierung in der Komponente Date. Ein entfernter Angreifer kann mit einer manipulierten HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die bösartige Seite besucht, und der CVSS-Basiswert beträgt 9.6 (Kritisch).
Betroffen
- Google Chrome Desktop vor 156.0.8078.47
- Chromium-basierte Browser, die denselben Fehler enthalten, könnten ebenfalls betroffen sein (nicht verifiziert)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Sicherheitsmitteilung des Herstellers vom 20. Oktober 2026)
Umgehung
- Unbekannt. Es ist kein Workaround dokumentiert. Das Update einspielen.
Ausnutzung
- Öffentlicher Proof of Concept: keiner gefunden. Status: unbekannt.
- Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Ein Drittanbieter-Tracker listet den Fehler nicht im CISA-KEV-Katalog; der KEV-Katalog wurde nicht direkt geprüft.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Alle Chrome-Desktopinstallationen auf 156.0.8078.47 oder neuer aktualisieren und prüfen, ob die installierte Version aktuell ist.
- Sicherstellen, dass Benutzer Chrome nach dem Update neu starten, da die Korrektur erst nach einem Neustart wirksam wird.
- Chromium-basierte Browser und Linux-Systeme mit Chromium ebenfalls aktualisieren.
- Herstellermitteilungen auf weitere Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop (20 Oct 2026) chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Vulners NVD record for CVE-2026-113020 vulners.com
- HKCERT security bulletin for Google Chrome www.hkcert.org
- GBHackers: Chrome 156 fixes security vulnerabilities gbhackers.com
- Sandbanks Digital: Chrome security update October 2026 sandbanksdigital.com
- Vulners MSCVE record for CVE-2026-113020 vulners.com
- Wikipedia: Google Chrome en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.