Google Chrome: Use-after-free in ANGLE-Grafikschicht
Zusammenfassung
Eine Use-after-free-Schwachstelle in ANGLE, der Grafikschicht von Google Chrome auf Desktop-Systemen, erlaubt einem Angreifer aus der Ferne, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen, eine Anmeldung ist jedoch nicht nötig. Die Codeausführung ist auf die Sandbox beschränkt, für eine vollständige Kompromittierung wäre also zusätzlich ein separater Sandbox-Escape nötig. Google stuft die Lücke als Low ein, die CNA und CVSS als 8.8 (High).
Betroffen
- Google Chrome Desktop (Windows, macOS, Linux) vor 156.0.8078.47
- Google Chrome Stable- und Extended-Stable-Kanäle
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Veröffentlichung des Herstellers vom 20. Oktober 2026)
- Neuere stabile Builds werden laut einem Drittbericht (TechSpot) als 156.0.8078.79 bzw. .80 angegeben; den neuesten stabilen Build installieren
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme. Patch installieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Chrome-Versionen auf allen Endgeräten prüfen und sicherstellen, dass sie den neuesten stabilen Build verwenden
- Sicherstellen, dass Chrome-Updates installiert und Browser neu gestartet wurden
- Microsoft Edge und andere Chromium-basierte Browser separat prüfen
- Diese Aktualisierung priorisieren, da Chrome auf KMU-Arbeitsplätzen verbreitet ist und das Surfen im Web ein häufiger Angriffseinstiegspunkt ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry 536445815 issues.chromium.org
- Vulners: CVE-2026-113140 (CVELIST) vulners.com
- TechSpot: Google Chrome downloads www.techspot.com
- Wikipedia: Google Chrome en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.