Google Chrome: Speicherfehler in PDFium ermöglicht Codeausführung in der Sandbox

Zusammenfassung

Ein Speicherfehler in PDFium, der PDF-Engine von Google Chrome, betrifft Chrome-Versionen vor 156.0.8078.47. Ein Angreifer, der einen Benutzer auf eine präparierte HTML-Seite lockt, kann unter Umständen beliebigen Code innerhalb der Browser-Sandbox ausführen. Google stuft die Schwachstelle als mittel ein; der NVD-Score von 8.8 ergibt sich, weil der Angriff das Laden der bösartigen Seite durch einen Benutzer voraussetzt. Es wurden weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden.

Betroffen

• Google Chrome-Versionen vor 156.0.8078.47 (Desktop, Android und iOS gemäss Herstellerangaben und Sekundärquellen)
• Andere Chromium-basierte Browser (zum Beispiel Microsoft Edge) können betroffen sein und liefern eigene Korrekturen aus

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (das Stable-Release vom 20. Oktober 2026)
• Gemäss Sekundärquellen: Windows und macOS 156.0.8078.48, Linux und Android 156.0.8078.47, iOS und iPadOS 156.0.8078.54
• Es existieren neuere Stable-Builds; empfohlen wird der neueste Stable-Build. Die genauen Builds pro Plattform sind in dieser Recherche nicht durch die Herstellerankündigung bestätigt.

Umgehung

• Keine Workaround-Massnahme nötig, ausser dem Update.
• Falls das Update verzögert werden muss, Browsing auf vertrauenswürdige Seiten beschränken und Chrome so konfigurieren, dass PDFs heruntergeladen statt im integrierten Viewer geöffnet werden (Einstellung in der eigenen Chrome-Version prüfen).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn gefunden.
• Gemäss einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; bitte im CISA-Katalog bestätigen.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzungsstatus poc, nicht automatisierbar, totale technische Auswirkung.
• EPSS laut einem Aggregator etwa 0.004 (niedrig).

Unsere Empfehlung

• Google Chrome auf allen Windows-, macOS- und Linux-Arbeitsstationen sowie auf verwalteten mobilen Geräten auf den neuesten Stable-Build aktualisieren.
• Microsoft Edge und andere Chromium-basierte Browser separat prüfen, da jeder Hersteller eine eigene Korrektur liefert.
• Endpunkte auf ungepatchte Chrome-Versionen scannen (zum Beispiel mit dem Tenable-Plugin für Chrome unter 156.0.8078.47).
• Risiko durch bösartige Seiten mit Mail- und Web-Filterung reduzieren.
• Server ohne Browser sind nicht betroffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Microsoft MSRC update guide msrc.microsoft.com
• NVD record via Vulners vulners.com
• Strix CVE summary www.strix.ai
• Google Chrome (Wikipedia) en.wikipedia.org
• CISA KEV status (third-party tracker) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:48.