Google Chrome: Speicherbeschädigung in OptimizationGuide ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in der Komponente OptimizationGuide. Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, die zur Ausführung von beliebigem Code innerhalb der Browser-Sandbox führen kann. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite besucht; der CVSS-Basiswert beträgt 8.8 (hoch).
Betroffen
- Google Chrome vor 156.0.8078.47
- Chromium-basierte Produkte, die den betroffenen Chromium-Code enthalten (Microsoft Edge, Debian-chromium-Pakete; Details in den Herstellerhinweisen prüfen)
- Die chromium-browser-Pakete von Ubuntu sind als nicht betroffen markiert; Snap-basiertes Chromium separat prüfen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows- und Mac-Builds werden mit 156.0.8078.48 angegeben; es existieren neuere 156.x-Builds, den neuesten verwenden)
- Genaue korrigierte Version pro Plattform: Unbekannt.
- Korrigierte Paketversionen für Debian-chromium: Unbekannt.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Chrome aktualisiert sich automatisch; das Update wird nach einem Neustart des Browsers wirksam.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden (KEV-Eintrag nicht bestätigt).
- Öffentlicher Proof of Concept: Nicht bekannt.
- Google stuft die Lücke als Medium ein; CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, dass alle Chrome-, Edge- und Chromium-Installationen Version 156.0.8078.47 oder neuer aufweisen, vorzugsweise den neuesten 156.x-Build.
- Browser neu starten, damit ausstehende Updates wirksam werden.
- Linux-Chromium-Pakete und Snap-Installationen in die Prüfung einbeziehen.
- Das Update auf Arbeitsstationen priorisieren, da die Lücke durch den Besuch einer präparierten Webseite erreichbar ist.
- Den Chrome-Hinweis und den CISA-KEV-Katalog auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113064 msrc.microsoft.com
- Ubuntu CVE tracker: CVE-2026-113064 ubuntu.com
- NVD mirror via Vulners: CVE-2026-113064 vulners.com
- Debian mirror via Vulners: MS:CVE-2026-113064 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.