Google Chrome: Use after free in Compositing ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Compositing von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dafür muss ein Opfer eine präparierte HTML-Seite aufrufen, ein Konto ist nicht nötig, eine Benutzerinteraktion aber schon. Eine vollständige Kompromittierung des Systems würde zusätzlich einen separaten Sandbox-Ausbruch erfordern.
Betroffen
- Google Chrome vor 156.0.8078.47 (Windows, macOS, Linux)
- Microsoft Edge (Chromium-basiert) ist über den upstream Chromium-Code betroffen; der korrigierte Edge-Build wurde nicht gefunden.
- Das Ubuntu-Paket chromium-browser gilt als nicht betroffen, da es die Chromium-Snap installiert.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer; empfohlen wird der neueste 156.x-Build.
- Debian (DSA 6577-1, DLA 4853-1) und FreeBSD haben Updates veröffentlicht; die exakten korrigierten Chromium-Builds sind dort zu prüfen.
Umgehung
- Keine Massnahme nötig, wenn das Update eingespielt ist. Automatische Updates aktiviert lassen.
Ausnutzung
- Zum Zeitpunkt der Recherche sind keine Ausnutzungen bekannt. Es wurde kein Eintrag im CISA-KEV-Katalog, keine Herstellerangabe zu Angriffen in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob alle Chrome- und Edge-Geräte mindestens 156.0.8078.47 verwenden, vorzugsweise den neuesten 156.x-Build.
- Kontrollieren, ob Benutzer Chrome nach dem Update neu gestartet haben, da die Aktualisierung erst beim Neustart wirksam wird.
- Verwaltete Geräte auf fixierte ältere Browserversionen prüfen und den CISA-KEV-Katalog auf Änderungen beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide msrc.microsoft.com
- Ubuntu Security: CVE-2026-113081 ubuntu.com
- Vulners: CVE-2026-113081 vulners.com
- TechSpot: Google Chrome downloads www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.