Google Chrome: Speicherbeschädigung in der Text-Komponente unter Android
Zusammenfassung
Google Chrome für Android enthält eine Speicherbeschädigung in der Text-Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen, zum Beispiel über einen Phishing-Link oder eine bösartige Website. Die NVD bewertet die Schwachstelle mit CVSS 8.8 (High), Chromium stuft sie als Medium ein.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- Die von der NVD übernommene Beschreibung nennt nur Android; der Desktop-Browser wird in der CVE-Beschreibung nicht erwähnt.
Behoben in
- Google Chrome für Android 156.0.8078.47 oder neuer
- Drittquellen melden neuere stabile Android-Builds 156.0.8078.73 und 156.0.8078.79; vor einer Abhängigkeit sind die Versionsangaben mit den Release-Notes von Google zu prüfen.
Umgehung
- Kein Workaround des Herstellers gefunden. Auf Geräten mit einem gepatchten Build ist keiner nötig.
Ausnutzung
- In den geprüften Quellen wurde keine aktive Ausnutzung gefunden. Der Status im CISA-KEV-Katalog wurde nicht geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00443 (geringe Ausnutzungswahrscheinlichkeit laut Vulners).
Unsere Empfehlung
- Prüfen, ob Google Chrome für Android auf allen verwalteten und privaten Geräten (BYOD) mindestens auf Version 156.0.8078.47 ist.
- Automatische Updates über den Play Store per MDM erzwingen.
- Geräte mit veralteten Android-Versionen identifizieren und vom Zugriff auf Geschäftsdaten trennen oder isolieren.
- Benutzer anweisen, keine unbekannten Links zu öffnen und den Browser aktuell zu halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop (October 2026) chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113096 msrc.microsoft.com
- Vulners NVD record: CVE-2026-113096 vulners.com
- Chrome 156 security update (Windows build 156.0.8078.47/48) windowsforum.com
- ChromeGeek: Chrome 156 security update 52 fixes www.chromegeek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.