Google Chrome: Use-after-free im Media-Component
Zusammenfassung
Eine Use-after-free-Schwachstelle im Media-Component von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet. Chromium stuft die Schwachstelle als niedrig ein, der CVSS-Wert beträgt 8.8. Es wurden keine Hinweise auf eine Ausnutzung gefunden, und die Auswirkungen beschränken sich auf den Sandbox-Renderer, sofern die Schwachstelle nicht mit einer weiteren Schwachstelle verkettet wird.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop, gemäss CVE-Beschreibung)
- Android-Chrome-Versionen vor 156.0.8078.47 (Sekundärquelle)
- Microsoft Edge (Chromium-basiert) vor 156.0.4314.42 (HKCERT, nicht gegen MSRC geprüft)
- Debian und Ubuntu: Ubuntu liefert Chromium als Snap, die Korrektur erfolgt daher über das Chromium-Snap
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux, Android)
- Google Chrome 156.0.8078.48 oder neuer für Windows und macOS empfohlen
- Microsoft Edge 156.0.4314.42 oder neuer
- Genaue Versionen anhand der Chrome-Releases-Mitteilung prüfen, die nicht direkt geöffnet werden konnte.
Umgehung
Nicht anwendbar, da ein Patch verfügbar ist. Der Browser muss nach dem Update vollständig neu gestartet werden.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Laut einem Drittanbieter-Tracker nicht als aktiv ausgenutzt gelistet; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Google Chrome und Microsoft Edge im normalen Browser-Update-Zyklus auf die korrigierten Versionen aktualisieren.
- Die installierte Version auf jedem Endgerät prüfen, da ein ausstehendes Update einen Browser-Neustart erfordert.
- Sicherstellen, dass verwaltete Endgeräte das Update über Flottenberichte oder eine Richtlinienprüfung erhalten.
- Benutzer anweisen, bis zur Installation des Updates keine unbekannten Webseiten zu öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 559776316 issues.chromium.org
- CVE-2026-113085 CVE list record (Vulners) vulners.com
- Ubuntu security tracker CVE-2026-113085 ubuntu.com
- Microsoft CVE record (Vulners) vulners.com
- HKCERT security bulletin on Microsoft Edge www.hkcert.org
- Chrome 156 security update coverage (Cybersecurity News) cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.