Google Chrome: Use-after-free in Actor ermöglicht Codeausführung im Sandkasten
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Use-after-free-Schwachstelle in der Komponente Actor. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Voraussetzung ist, dass ein Benutzer die Seite öffnet, etwa über einen bösartigen Link oder eine kompromittierte Website. Für eine vollständige Kompromittierung wäre normalerweise eine zweite Schwachstelle zum Verlassen der Sandbox nötig.
Betroffen
- Google Chrome vor 156.0.8078.47
- Microsoft Edge (Chromium-basiert) vor 156.0.4314.42, gemäss HKCERT (Sekundärquelle)
- Chromium-basierte Linux-Installationen: Ubuntu markiert sein Paket chromium-browser als nicht betroffen, da es das Chromium-Snap installiert, das aktualisiert werden muss
Behoben in
- Google Chrome 156.0.8078.47 (Linux und Android, gemäss Sekundärberichten)
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 (Windows und macOS, gemäss Sekundärberichten)
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT)
- Die Herstellerwarnung wurde nicht direkt überprüft
Umgehung
In den Quellen ist kein Workaround dokumentiert. Chrome aktualisieren und den Browser vollständig neu starten, da ein laufender Prozess noch die alte Version sein kann.
Ausnutzung
- In den Quellen wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- VulDB bewertet die Ausnutzung als einfach, basierend auf automatisierten Schätzungen und nicht auf beobachteten Angriffen.
Unsere Empfehlung
- Sicherstellen, dass alle Arbeitsstationen Google Chrome 156.0.8078.47 oder neuer verwenden, und Microsoft Edge 156.0.4314.42 oder neuer, falls im Einsatz.
- Auf Endgeräten, auf denen Chrome nach dem Update nicht neu gestartet wurde, einen vollständigen Browser-Neustart erzwingen.
- Verwaltete oder fixierte Chrome-Installationen sowie Chromium-Snap-Versionen auf Linux-Systemen prüfen.
- Als prioritäres Update im normalen Patch-Zyklus behandeln, nicht als Notfall, da keine Ausnutzung bekannt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry (not accessible for verification) issues.chromium.org
- NVD mirror on Vulners: CVE-2026-113087 vulners.com
- VulDB entry 424244 vuldb.com
- Ubuntu security notice CVE-2026-113087 ubuntu.com
- HKCERT security bulletin on Microsoft Edge vulnerabilities www.hkcert.org
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.