Google Chrome: Speicherbeschädigung in Skia-Grafikbibliothek
Zusammenfassung
Eine Speicherbeschädigung in Skia, der 2D-Grafikbibliothek von Google Chrome, erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; eine Authentifizierung ist nicht nötig, der Benutzer muss die Seite jedoch laden. Laut CVE-Eintrag beschränkt sich die Codeausführung auf die Sandbox, eine vollständige Kompromittierung des Systems würde eine weitere Schwachstelle erfordern. Google stuft den Chromium-Sicherheitsschweregrad als Medium ein, und es ist keine aktive Ausnutzung bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47\n- Microsoft Edge (auf Chromium basierend) vor 156.0.4314.42 (gemäss HKCERT-Meldung)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows- und Mac-Builds werden mit 156.0.8078.48 aufgeführt)\n- Microsoft Edge 156.0.4314.42 oder neuer
Umgehung
- Keine vom Hersteller genannte Massnahme. Das Einspielen des Browser-Updates ist die Behebung.
Ausnutzung
- Keine bekannte Ausnutzung in den geprüften Quellen.\n- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.\n- EPSS 0.00417 (niedrig).\n- Der CISA-KEV-Katalog wurde nicht direkt geprüft; dort bitte verifizieren.
Unsere Empfehlung
- Google Chrome auf 156.0.8078.47 oder neuer aktualisieren, wobei der neueste Build des stabilen Kanals von Google zu verwenden ist.\n- Microsoft Edge auf 156.0.4314.42 oder neuer aktualisieren.\n- Browserversionen auf allen verwalteten Geräten prüfen, insbesondere wo das automatische Update deaktiviert ist.\n- Auf unerwartete Browserabstürze achten und den CISA-KEV-Katalog auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113106 msrc.microsoft.com
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Vulners: CVE-2026-113106 record vulners.com
- Ubuntu Security: CVE-2026-113106 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.