Google Chrome: Use-after-free in WebSockets ermöglicht Codeausführung in Sandbox

Zusammenfassung

Ein Use-after-free-Fehler in der WebSockets-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass das Opfer eine präparierte HTML-Seite öffnet, etwa über eine bösartige Website oder einen Link in einer Phishing-E-Mail, und keine Anmeldung ist erforderlich. NVD stuft die Lücke mit CVSS 8.8 (Hoch) ein, während Chromium sie als Mittel bewertet; es wurden weder Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden.

Betroffen

• Google Chrome vor 156.0.8078.47
• Auf Chromium basierende Browser benötigen unter Umständen eigene Korrekturen; Microsoft Edge übernimmt die Chromium-Korrektur
• Der Versionsbereich im CVE-Eintrag ist unklar ("156.0.8078.47 bis < 156.0.8078.47")

Behoben in

• Google Chrome 156.0.8078.47 (Linux) sowie 156.0.8078.47 oder 156.0.8078.48 (Windows, Mac), laut Drittanbieterangaben
• Neuere Stable-Builds wie 156.0.8078.79 (Windows, Mac, Linux) wurden von Drittanbietern gemeldet; das Veröffentlichungsdatum konnte nicht auf der Seite von Google bestätigt werden
• Debian DSA 6577-1 und DLA 4853-1 (chromium-Updates); Ubuntu führt das Paket chromium-browser als nicht betroffen, da es die Chromium-Snap installiert

Umgehung

Unbekannt.

Kein vom Hersteller genannter Workaround. Das Aktualisieren des Browsers ist die Korrektur.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung none, Automatisierbar no, Technische Auswirkung total.
• EPSS 0.00471 ist ein Modellwert und kein Nachweis einer Ausnutzung.
• Nicht direkt im Katalog der CISA KEV überprüft.

Unsere Empfehlung

• Prüfen Sie die Chrome-Version auf allen Endgeräten und stellen Sie sicher, dass sie mindestens 156.0.8078.47 beträgt, vorzugsweise der neuesten Stable-Build.
• Starten Sie den Browser neu, wo ein Update ansteht, da Chrome Updates erst nach einem Neustart anwendet.
• Stellen Sie unter Linux sicher, dass die Chromium-Pakete von Debian oder Ubuntu bzw. der Snap-Refresh aktuell sind.
• Erzwingen Sie das Browser-Update auf verwalteten Geräten mit Ihren bestehenden Verwaltungswerkzeugen.
• Beobachten Sie den Chromium-Fehlerbericht und die CISA KEV auf Änderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Ubuntu security: CVE-2026-113037 ubuntu.com
• Vulners: CVE-2026-113037 (CVE list) vulners.com
• Vulners: MS:CVE-2026-113037 vulners.com
• TechSpot: Google Chrome download www.techspot.com
• BrowserHow: Chrome 156 stable update browserhow.com
• Wikipedia: Google Chrome en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:47.