Google Chrome: Use after free in SiteIsolation ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle (CWE-416) in SiteIsolation, der Prozessisolierungskomponente von Chrome. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der CVSS-Basiswert beträgt 8.8 (hoch), und es ist eine Benutzerinteraktion nötig, etwa das Öffnen der Seite.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.47
- Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten (Status variiert je nach Hersteller)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Stable-Kanal, veröffentlicht am 20. Oktober 2026)
- Neuere Stable-Builds sind verfügbar; den neuesten Stable-Build aus dem offiziellen Kanal installieren
- Debian hat Chromium-Updates veröffentlicht (DSA 6577-1, DLA 4853-1)
Umgehung
Unbekannt. Es wurde keine Workaround dokumentiert; ein Update ist die einzige dokumentierte Abhilfe.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof-of-Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Gemeldet von einem externen Forscher, von Google ausgezeichnet
Unsere Empfehlung
- Google Chrome und andere Chromium-basierte Browser auf mindestens 156.0.8078.47 aktualisieren, vorzugsweise auf den neuesten Stable-Build
- Verwaltete Browser-Installationen auf veraltete Versionen prüfen, da einzelne Geräte später aktualisiert werden
- Installierte Versionen anhand des Google Chrome Releases Beitrags verifizieren
- Sicherstellen, dass Browser automatisch aktualisiert werden, und auf weitere Updates achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC update guide msrc.microsoft.com
- Vulners NVD record vulners.com
- Ubuntu security tracker ubuntu.com
- Vulners Debian listing vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.