Google Chrome: Unzureichende Eingabeprüfung in der Omnibox unter Android
Zusammenfassung
Google Chrome für Android enthält einen Fehler bei der Eingabeprüfung in der Omnibox (Adress- und Suchleiste). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Sandbox ausführen. Ein Benutzer muss dafür mitwirken, etwa indem er die Seite aufruft. Die CVSS-Basisbewertung laut NVD beträgt 8.8.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- VulDB nennt den betroffenen Bereich bis 155.0.8059.84 (das Feld zu betroffenen Versionen in NVD/CNA ist widersprüchlich und wurde nicht verwendet)
Behoben in
- Google Chrome für Android 156.0.8078.47
- Ein späterer Android-Build, 156.0.8078.75, ist auf APKMirror gelistet; ob er diese Korrektur enthält, ist nicht verifiziert.
Umgehung
- Kein vom Hersteller dokumentierter Workaround. Das Aktualisieren von Chrome ist die Korrektur.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Ein Drittanbieter-Aggregator führt die CVE nicht im CISA-KEV-Katalog; nicht direkt überprüft.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00424 (etwa 0.4%).
Unsere Empfehlung
- Chrome auf Android-Geräten auf 156.0.8078.47 oder neuer aktualisieren.
- Bei verwalteten Geräten die installierte Version über MDM oder Google Play prüfen.
- Bei anderen Chromium-basierten Android-Browsern beim Hersteller nachfragen, ob die Korrektur enthalten ist.
- Benutzer auf den Verzicht auf unbekannte Links und Seiten hinweisen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NVD mirror: CVE-2026-113099 vulners.com
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 556227230 issues.chromium.org
- VulDB: CVE-2026-113099 vuldb.com
- Microsoft Security Update Guide: CVE-2026-113099 msrc.microsoft.com
- Google Chrome (Wikipedia) en.wikipedia.org
- APKMirror: Chrome 156.0.8078.75 www.apkmirror.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.