Google Chrome: Unzureichende Eingabevalidierung in der API
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine unzureichende Eingabevalidierung in der API, von Google als Mittel eingestuft. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die schädliche Seite besuchen, etwa über eine kompromittierte Website oder einen Link in einer Phishing-E-Mail. Die Quellen beschreiben keine Sandbox-Flucht.
Betroffen
- Google Chrome vor 156.0.8078.47, gemäss CVE-Beschreibung
- Der betroffene Versionsbereich im CVE-Eintrag ist widersprüchlich (156.0.8078.47 bis < 156.0.8078.47), daher ist er mit der Herstellerwarnung zu prüfen
- Chromium-basierte Produkte, die dieselben Chromium-Korrekturen übernehmen, können ebenfalls betroffen sein
Behoben in
- Chrome 156.0.8078.47 (Linux) sowie 156.0.8078.47/.48 (Windows und macOS), gemäss Sekundärberichten zum Stable-Update des Herstellers vom 20. Okt. 2026
- Unbekannt, ob 156.0.8078.73 oder neuer diese CVE ebenfalls abdeckt; die neueste Stable-Version ist die sicherste Wahl
- Unbekannt: genaue korrigierte Paketversionen der Linux-Distributionen
Umgehung
Unbekannt. In den Quellen ist keine Workaround-Massnahme dokumentiert; das Aktualisieren ist die Abhilfe.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Ein Drittanbieter-Spiegel führt die CVE als nicht im CISA KEV; dies wurde nicht bei CISA verifiziert.
- Es wurde kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, dass alle Chrome-Endgeräte 156.0.8078.47 oder neuer ausführen, vorzugsweise die neueste Stable-Version.
- Starten Sie den Browser nach dem Update neu, da ein ausstehendes Update erst nach einem Neustart wirksam wird.
- Beziehen Sie andere Chromium-basierte Browser in die Patch-Prüfung ein.
- Spielen Sie das Update zeitnah im normalen Browser-Update-Zyklus ein, da dieselbe Version weitere kritische Schwachstellen behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Vulners CVE record CVE-2026-113062 vulners.com
- Strix CVE-2026-113062 www.strix.ai
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
- WindowsForum: Chrome 156 security update windowsforum.com
- TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
- Ubuntu CVE tracker CVE-2026-113062 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.