Google Chrome: Use-after-free in Browser ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der Browser-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angriff setzt voraus, dass ein Benutzer eine präparierte HTML-Seite besucht, zum Beispiel durch Phishing oder eine kompromittierte Website. NVD stuft die Schwachstelle mit CVSS 8.8 (hoch) ein. Der im CVE-Eintrag verlinkte Chromium-Tracker scheint eine andere Schwachstelle zu beschreiben, weshalb die Zuordnung nicht bestätigt ist.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Chromium-basierte Browser, die auf der betroffenen Chromium-Version beruhen, zum Beispiel Microsoft Edge (gemäss HKCERT-Bulletin)
- Linux-Distributionen, die Chromium paketieren (Debian, Ubuntu-Snap): Herstellerhinweise prüfen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (gemäss CVE-Eintrag; Windows- und macOS-Builds werden von Sekundärquellen als 156.0.8078.48 oder neuer aufgeführt)
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT-Bulletin)
- Immer den neuesten Stable-Build installieren; neuere Builds sind verfügbar.
Umgehung
Unbekannt.
- Nach der Aktualisierung des Browsers ist kein Workaround nötig.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA-KEV-Katalog gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS etwa 0.0044 (gemäss Vulners).
Unsere Empfehlung
- Google Chrome und alle Chromium-basierten Browser (einschliesslich Edge) auf den neuesten Stable-Build aktualisieren.
- Browser nach dem automatischen Update neu starten, damit die Korrektur wirksam wird.
- Verwaltete Geräte auf veraltete Browserversionen prüfen und automatische Updates erzwingen.
- Linux- und Snap-Installationen anhand der Hinweise der Distributionen prüfen.
- Endpunkte auf ungewöhnliche Browser-Abstürze oder unerwartete Codeausführung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 519217664 (referenced in CVE, content conflicts) issues.chromium.org
- Microsoft Edge multiple vulnerabilities (HKCERT) www.hkcert.org
- Ubuntu security tracker CVE-2026-113073 ubuntu.com
- Vulners MSCVE record CVE-2026-113073 vulners.com
- Strix CVE record CVE-2026-113073 www.strix.ai
- TechSpot Google Chrome download www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.