Google Chrome: Use-after-free in Input erlaubt Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Input von Google Chrome für Desktop erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für den Angriff muss das Opfer eine präparierte HTML-Seite öffnen, daher besteht ein Drive-by-Risiko durch bösartige oder kompromittierte Websites. Für eine vollständige Kompromittierung ist typischerweise zusätzlich ein Sandbox-Escape nötig, der in dieser CVE nicht beschrieben ist.
Betroffen
- Google Chrome für Desktop in Versionen vor 156.0.8078.47
- Chromium-basierte Browser, die denselben Fix übernehmen, etwa Microsoft Edge (genaue betroffene Version ist im MSRC-Eintrag zu bestätigen)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (die genaue Version pro Plattform ist im Herstellerhinweis zu prüfen, da Quellen zwischen .47 und .48 abweichen)
- Microsoft Edge: gefixte Version gemäss MSRC (eine Drittquelle nennt 156.0.4314.42 oder neuer)
- Ubuntu: Fix über das Chromium-Snap (Paket chromium-browser als Not affected markiert)
Umgehung
- Keine Workaround des Herstellers identifiziert. Das Aktualisieren ist die Massnahme.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder auf öffentlichen Proof-of-Concept-Code gefunden. Das bedeutet, dass keine Informationen vorliegen, nicht, dass eine Ausnutzung ausgeschlossen ist.
- Die ähnliche CVE-2026-76031 (gefixt in 156.0.8078.79) ist nicht mit dieser CVE zu verwechseln.
Unsere Empfehlung
- Prüfen, ob alle Chrome-Installationen auf 156.0.8078.47 oder neuer laufen und Edge auf der gemäss MSRC gefixten Version.
- Browser nach Updates neu starten lassen, da selten neu gestartete Geräte ungepatcht bleiben können.
- Verwaltete Flotten und Linux-Systeme mit Chromium-Snap prüfen.
- Priorität für die Patch-Verteilung: hoch. Kein Notfall, sofern keine Ausnutzung gemeldet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 40942045 issues.chromium.org
- Microsoft MSRC update guide CVE-2026-113068 msrc.microsoft.com
- Ubuntu CVE tracker CVE-2026-113068 ubuntu.com
- HKCERT security bulletin on Microsoft Edge vulnerabilities www.hkcert.org
- Strix CVE record mirror CVE-2026-113068 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.