Google Chrome: Use after free in WebUI ermöglicht Codeausführung in Sandbox

Zusammenfassung

Ein Use-after-free-Fehler in der WebUI-Komponente von Google Chrome für Desktop erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass ein Opfer eine präparierte HTML-Seite öffnet, zum Beispiel über einen Phishing-Link oder eine bösartige Werbung. Der CVE-Eintrag stuft die Schwachstelle als hoch ein (CVSS 8.8) und beschreibt nur die Codeausführung innerhalb der Sandbox, ohne Sandbox-Ausbruch.

Betroffen

• Google Chrome für Desktop, Versionen vor 156.0.8078.47 (gemäss CVE-Beschreibung)
• Nicht verifiziert: Einige Drittquellen nennen für Windows und macOS den Build 156.0.8078.48
• Chromium-basierte Browser und Linux-Distributionspakete können betroffen sein; die Herstellerhinweise prüfen

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (gemäss CVE-Beschreibung und Chrome-Releases-Beitrag)
• Neuere Stable-Builds existieren (Drittquellen nennen 156.0.8078.79/.80); den neuesten Stable-Build installieren
• Microsoft Edge und Linux-Pakete: die Fixversionen in den jeweiligen Herstellerhinweisen verwenden

Umgehung

Keine Workaround bekannt. Das Sicherheitsupdate installieren.

Ausnutzung

• In den geprüften Quellen wurde keine aktive Ausnutzung gefunden
• Kein öffentlicher Proof of Concept gefunden
• Der Status im CISA-KEV-Katalog wurde nicht direkt überprüft

Unsere Empfehlung

• Die installierte Chrome-Version auf allen Endgeräten prüfen und auf den neuesten Stable-Build aktualisieren
• Sicherstellen, dass Edge, Chromium und Linux-Chromium-Pakete über ihre eigenen Kanäle aktualisiert werden
• Benutzer daran erinnern, keine unbekannten Links zu öffnen und bei unbekannten Webseiten vorsichtig zu sein
• Den CISA-KEV-Katalog und den Chrome-Releases-Blog von Google auf Änderungen des Ausnutzungsstatus überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Microsoft Security Update Guide: CVE-2026-113058 msrc.microsoft.com
• Ubuntu security: CVE-2026-113058 ubuntu.com
• Vulners: CVELIST CVE-2026-113058 vulners.com
• Chrome for Testing (Stable builds) googlechromelabs.github.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:28.