Google Chrome: Speicherbeschädigung in PictureInPicture
Zusammenfassung
Eine Speicherbeschädigung in der Komponente PictureInPicture von Google Chrome für Desktop erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dazu muss ein Benutzer eine präparierte HTML-Seite öffnen. NVD und Microsoft bewerten die Schwachstelle mit CVSS 8.8 (hoch), und Chromium stuft sie als hoch ein. In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
Betroffen
- Google Chrome Desktop-Builds vor 156.0.8078.47
- Chromium-basierte Browser wie Microsoft Edge verwenden denselben Code; Herstellerhinweise prüfen
- Android: nicht bestätigt
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows- und macOS-Builds können .48 anzeigen); neueste 156-Stable-Version einsetzen
- Die genaue Fixversion im Google-Advisory prüfen, das nicht vollständig geprüft werden konnte
Umgehung
- Kein Workaround nötig, sofern der Patch installiert ist. Browser aktualisieren und neu starten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Kein öffentlicher Proof of Concept gefunden. CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Den Status als unbekannt statt als bestätigt nicht vorhanden behandeln.
Unsere Empfehlung
- Google Chrome und Chromium-basierte Browser wie Microsoft Edge auf 156.0.8078.47 oder neuer aktualisieren, vorzugsweise auf die neueste 156-Stable-Version.
- Browser nach dem Update neu starten und die Version auf allen Desktops prüfen.
- Geräte priorisieren, auf denen der Browser selten neu gestartet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Microsoft MSRC: CVE-2026-113135 msrc.microsoft.com
- Vulners: CVE-2026-113135 vulners.com
- Cybersecuritynews: Chrome 156 security update cybersecuritynews.com
- Ubuntu Security: CVE-2026-113135 ubuntu.com
- Chromium issue tracker (access usually restricted) issues.chromium.org
- Strix: CVE-2026-113135 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.