Google Chrome: Speicherbeschädigung in PlatformIntegration erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der Komponente PlatformIntegration. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite öffnet, zum Beispiel beim Surfen im Internet.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Weitere Chromium-basierte Browser können betroffen sein, bis sie die Korrektur übernehmen; der Status für Microsoft Edge und das Chromium-Snap von Ubuntu muss separat geprüft werden
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Chrome 156 Stable-Kanal, Advisory vom 20. Oktober 2026)
- Neuester Chrome 156 Stable-Build empfohlen; Sekundärquellen nennen spätere Builds (zum Beispiel 156.0.8078.79/.80), nicht auf der Seite des Herstellers verifiziert
Umgehung
- Keine Workaround-Massnahme dokumentiert. Chrome aktualisieren.
- Unbekannt, ob Browser-Richtlinien oder Feature-Flags das Risiko reduzieren.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn in den geprüften Quellen gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf den neuesten Chrome 156 Stable-Build aktualisieren.
- Browser nach dem Update neu starten, damit die neue Version wirksam wird.
- Prüfen, ob die automatische Aktualisierung aktiviert ist und verwaltete Geräte nicht auf ältere Builds fixiert sind.
- Weitere Chromium-Browser (Edge, Brave und ähnliche) inventarisieren und aktualisieren.
- CISA KEV und die Herstellerseiten auf Änderungen beim Ausnutzungsstatus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide msrc.microsoft.com
- Ubuntu CVE tracker ubuntu.com
- NVD record via Vulners vulners.com
- TechSpot Google Chrome download page www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.