Google Chrome: Speicherbeschädigung in PerformanceAPIs ermöglicht Codeausführung
Zusammenfassung
Google-Chrome-Desktop-Versionen vor 156.0.8078.47 enthalten einen Fehler zur Speicherbeschaedigung in der Komponente PerformanceAPIs (CWE-119). Ein entfernter Angreifer kann mit einer manipulierten HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Für den Angriff genügt es, dass ein Benutzer die schadhafte Seite besucht, eine Anmeldung ist nicht nötig. Google stuft den Schweregrad in Chromium als Niedrig ein, während NVD die CVE mit 9.6 (Kritisch) bewertet.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47 (Windows, macOS, Linux)
- Android Chrome: als betroffen gemeldet, nicht verifiziert
- Chromium-basiertes Edge: abhängig von der enthaltenen Chromium-Version, nicht verifiziert
- Die Ubuntu-Übersicht führt chromium-browser als nicht betroffen; Ubuntu liefert Chromium als Snap aus, daher die Snap-Version prüfen
- Der offizielle CVE-Eintrag enthält einen widersprüchlichen Versionsbereich ("156.0.8078.47 bis < 156.0.8078.47")
Behoben in
- Linux: 156.0.8078.47 oder neuer
- Windows und macOS: 156.0.8078.48 oder neuer (aus Sekundärquellen; mit der Google-Meldung bestätigen)
- Debian- und FreeBSD-Chromium-Pakete wurden aktualisiert; die korrigierten Paketversionen sind unbekannt
Umgehung
- Kein Workaround nötig; die Aktualisierung ist die Behebung.
- Browser nach der Aktualisierung neu starten, da alte Browserprozesse weiterlaufen können.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Recherche wurden keine Hinweise auf Ausnutzung oder einen öffentlichen Proof of Concept gefunden.
Unsere Empfehlung
- Google Chrome und andere Chromium-basierte Browser jetzt auf die korrigierte Version aktualisieren.
- Browser nach der Aktualisierung neu starten und die installierte Version prüfen.
- Browserversionen im gesamten Bestand erfassen und die Verteilung dokumentieren.
- Linux- und Snap-Paketversionen separat prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB CVE-2026-113056 vuldb.com
- Ubuntu security tracker CVE-2026-113056 ubuntu.com
- Vulners CVE list entry (Debian, FreeBSD) vulners.com
- Cybersecurity News: Chrome security update cybersecuritynews.com
- TechGeeks: Security notice Google Chrome 156 www.techgeeks.org
- Google Chrome (Wikipedia) en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.