Google Chrome für iOS: Use-after-free im Web-Layer ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome für iOS enthält eine Use-after-free-Schwachstelle (CVE-2026-113043) in der Komponente iOSWeb, die Google als Medium einstuft, während NVD sie mit 8.8 (High) bewertet. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Die Ausnutzung erfordert, dass das Opfer die Seite öffnet; der Angreifer benötigt keinen vorgängigen Zugriff.
Betroffen
- Google Chrome für iOS vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Die genauen betroffenen iOS-Buildnummern sind unbestätigt; die Quellen widersprechen sich
Behoben in
- Google Chrome 156.0.8078.47 oder neuer gemäss CVE-Beschreibung
- Der genaue iOS-Build mit der Korrektur konnte nicht bestätigt werden; die neueste Version aus dem App Store installieren
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme; Aktualisierung ist die Abhilfe.
Ausnutzung
- Ausnutzung in freier Wildbahn: Keine bekannten Meldungen.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA KEV: Kein Eintrag gefunden.
- EPSS: rund 0.5% (niedrig).
Unsere Empfehlung
- Google Chrome auf allen iPhones und iPads auf die neueste Version im App Store aktualisieren, idealerweise über automatische Updates oder MDM.
- Geräte priorisieren, die zum Surfen oder für den Zugriff auf sensitive Systeme verwendet werden.
- Mitarbeitende darauf hinweisen, keine unbekannten Links oder Anhänge zu öffnen.
- Auf weitere Herstellerupdates achten und die installierte Version auf jedem Gerät prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chrome Releases: Chrome Stable for iOS update chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Response Center update guide msrc.microsoft.com
- Vulners CVE record vulners.com
- Strix.ai CVE record www.strix.ai
- Google Chrome on the App Store apps.apple.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.