Google Chrome: Use-after-free in Actor-Komponente ermöglicht Codeausführung in Sandbox

Zusammenfassung

Google Chrome enthält eine Use-after-free-Schwachstelle in der Actor-Komponente (CVE-2026-113041, CVSS 8.8). Ein Angreifer aus dem Netz kann sie mit einer manipulierten HTML-Seite auslösen, und bei erfolgreicher Ausnutzung kann beliebiger Code innerhalb der Browser-Sandbox ausgeführt werden. Es ist eine Benutzerinteraktion nötig, da das Opfer die Seite besuchen muss, und es wurde weder eine öffentliche Exploit-Methode noch eine Ausnutzung in freier Wildbahn gemeldet.

Betroffen

• Google Chrome vor 156.0.8078.47

Die Quellen unterscheiden sich bei der genauen Build-Grenze für Windows und macOS (156.0.8078.47 oder .48); siehe Empfehlung.

Behoben in

• Linux und Android: 156.0.8078.47 (gemäss Sekundärberichterstattung)
• Windows und macOS: 156.0.8078.47 oder .48 (gemäss Sekundärberichterstattung; Release-Seite des Herstellers nicht verifiziert)
• iOS/iPadOS: 156.0.8078.54 (gemäss Sekundärberichterstattung)
• Microsoft Edge (Chromium-basiert): 156.0.4314.42 oder neuer (gemäss HKCERT; bei Microsoft bestätigen)
• Debian chromium: DSA 6577-1 und DLA 4853-1 veröffentlicht; fixe Paketversionen unbekannt
• Ubuntu chromium-browser: nicht betroffen (Wrapper); das Chromium-Snap muss aktualisiert werden

Umgehung

Kein Workaround dokumentiert. Die Installation der korrigierten Version ist die Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA KEV: Ein Drittanbieter-Tracker listet die Schwachstelle nicht im KEV-Katalog; nicht am CISA-Katalog verifiziert.
• EPSS etwa 0.004 (geringe Ausnutzungswahrscheinlichkeit) gemäss Vulners.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Google Chrome auf allen verwalteten Endgeräten aktualisieren; unter Windows und macOS vorsorglich Version 156.0.8078.48 oder neuer verlangen.
• Chromium-basiertes Edge auf 156.0.4314.42 oder neuer aktualisieren und bei Microsoft verifizieren.
• Das Chromium-Snap auf Ubuntu aktualisieren und die Debian-Sicherheitsupdates für chromium installieren.
• Browser nach dem Update neu starten, damit die neue Version aktiv ist.
• Installierte Browserversionen im gesamten Bestand prüfen und dies als Browser-Update mit hoher Priorität behandeln.
• Auf Berichte zur Ausnutzung achten, da eine frühere Actor-Use-after-free-Schwachstelle (CVE-2026-95345) wiederkehrende Fehler in dieser Komponente zeigt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 524319033 issues.chromium.org
• Microsoft MSRC: CVE-2026-113041 msrc.microsoft.com
• Ubuntu security: CVE-2026-113041 ubuntu.com
• Vulners NVD record: CVE-2026-113041 vulners.com
• Vulners CVELIST record (Debian advisories) vulners.com
• HKCERT security bulletin: Microsoft Edge www.hkcert.org
• Cybersecuritynews: Chrome security update cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:41.