Google Chrome: Use after free in Extensions ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Extensions. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Eine Benutzerinteraktion ist erforderlich, und für eine vollständige Kompromittierung ist in der Regel eine zweite Schwachstelle zur Sandbox-Flucht nötig.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.47
- Windows-, Mac- und Linux-Builds von Chrome 156 werden von Drittquellen als 156.0.8078.47 oder 156.0.8078.48 angegeben; bitte mit der Herstellermeldung abgleichen.
- Andere Chromium-basierte Browser und Linux-Distributionspakete sind hier nicht bestätigt.
Behoben in
- Chrome 156 Stable (Windows, Mac, Linux), veröffentlicht am 20. Oktober 2026, mit Build 156.0.8078.47 oder neuer.
- Die neueste verfügbare 156.x-Version für die jeweilige Plattform verwenden.
Umgehung
- Unbekannt. Es wurde keine herstellerspezifische Workaround gefunden.
- Nicht gegen eine Herstellerquelle verifizierte Zwischenmassnahmen: automatische Chrome-Updates per Richtlinie erzwingen und die Installation von Erweiterungen auf genehmigte Erweiterungen beschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Laut einem Drittanbieter-Snapshot nicht im CISA-KEV-Katalog; der KEV-Katalog sollte erneut geprüft werden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf Version 156.0.8078.47 oder neuer aktualisieren, möglichst die neueste 156.x-Version.
- Die Browserversion zentral überprüfen, beispielsweise über verwaltete Richtlinien oder Endpoint-Management.
- Microsoft Edge und andere Chromium-basierte Browser prüfen und deren Updates einspielen.
- Die Installation von Erweiterungen auf genehmigte Erweiterungen beschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug 513512147 issues.chromium.org
- VulnERS NVD record CVE-2026-113112 vulners.com
- VulnERS MSCVE record CVE-2026-113112 vulners.com
- Strix CVE-2026-113112 (third-party snapshot) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.