Google Chrome: Speicherkorruption in DevTools ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Speicherkorruption in der Komponente DevTools von Google Chrome erlaubt einem Angreifer aus der Ferne, beliebigen Code innerhalb der Renderer-Sandbox des Browsers auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite besucht, zum Beispiel über einen Phishing-Link oder eine bösartige Website. Die Codeausführung in der Sandbox ist meist nur ein Schritt; für eine vollständige Kompromittierung des Systems wird eine weitere Schwachstelle zum Verlassen der Sandbox benötigt. Chromium stuft das Problem als Medium ein.

Betroffen

• Google Chrome Desktop-Versionen vor 156.0.8078.47 (CVE-Beschreibung)
• Linux-Versionen vor 156.0.8078.47; Windows- und macOS-Versionen werden laut Sekundärquellen mit .47 oder .48 angegeben (nicht gegen den Hersteller-Beitrag überprüft)
• Android-Versionen vor 156.0.8078.47 (Sekundärquellen)
• Microsoft Edge vor 156.0.4314.42 (HKCERT)

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Linux); Windows und macOS: laut Sekundärquellen 156.0.8078.48 oder neuer, gegen den Hersteller-Beitrag zu prüfen
• Die neueste stabile Version verwenden, da spätere Chrome-156-Versionen ebenfalls Korrekturen enthalten
• Microsoft Edge 156.0.4314.42 oder neuer
• Linux: Debian DSA 6577-1 und DLA 4853-1 für Chromium; unter Ubuntu das Chromium-Snap aktualisieren (das Paket chromium-browser ist nicht betroffen)

Umgehung

Unbekannt. Kein vom Hersteller dokumentierter Workaround gefunden.

• Übergangslösung, für diese CVE nicht verifiziert: DevTools über die Unternehmensrichtlinie DeveloperToolsAvailability einschränken und bis zur Behebung nicht vertrauenswürdige Websites meiden.

Ausnutzung

Unbekannt. Für diese CVE wurde keine Ausnutzung in freier Wildbahn, kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden. CISA-SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Chrome und Edge auf die neueste stabile Version aktualisieren und den Browser neu starten, da Updates erst nach einem Neustart wirksam werden.
• Installierte Versionen auf allen Endgeräten prüfen, inklusive Edge und Linux-Snap-Installationen.
• Sicherstellen, dass automatische Updates funktionieren.
• Bis zur Behebung den Zugriff auf nicht vertrauenswürdige Websites einschränken und Benutzer vor verdächtigen Links warnen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 553114456 issues.chromium.org
• Vulners: CVE-2026-113136 (CVE list) vulners.com
• HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
• Ubuntu: CVE-2026-113136 ubuntu.com
• TechGeeks: Google Chrome 156 stable security notice www.techgeeks.org
• Vuldb: vulnerability 424164 (related DevTools CVE) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:45.