Google Chrome: Speicherfehler in PerformanceAPIs ermöglicht Code-Ausführung in Sandbox

Zusammenfassung

Ein Speicherfehler in der Komponente PerformanceAPIs von Google Chrome vor 156.0.8078.47 kann einem entfernten Angreifer erlauben, Code innerhalb der Renderer-Sandbox auszuführen. Für die Ausnutzung muss das Opfer eine manipulierte HTML-Seite öffnen, typischerweise über eine bösartige oder kompromittierte Website oder einen Phishing-Link. Für eine vollständige Kompromittierung wäre in der Regel zusätzlich ein zweiter Fehler zum Verlassen der Sandbox nötig; dies ist eine Einschätzung, keine Aussage des Herstellers. Der NVD-CVSS-Wert beträgt 8.8 (Hoch), und Chromium stuft das Problem als Mittel ein.

Betroffen

• Google Chrome (Desktop) vor 156.0.8078.47 gemäss CVE-Eintrag
• Nachgelagerte Chromium-basierte Produkte, welche die Korrektur übernehmen, z. B. Microsoft Edge (Chromium-basiert)

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Mindestversion gemäss CVE-Eintrag und Drittquellen)
• Es existieren spätere stabile Builds (gemeldet als 156.0.8078.79/.80 für Windows und macOS, 156.0.8078.79 für Linux); den neuesten stabilen Build installieren
• Die Build-Nummern unterscheiden sich je nach Quelle für macOS/Windows; auf der Herstellerseite überprüfen

Umgehung

Keine Workaround-Massnahme nötig. Ein Patch ist verfügbar. Chrome aktualisiert sich automatisch nach einem Neustart; manuelle Prüfung über Menü > Hilfe > Info zu Google Chrome.

Ausnutzung

• In den Recherchenotizen wurde keine Ausnutzung in freier Wildbahn gefunden; im CISA-KEV-Katalog überprüfen.
• Kein öffentlicher Proof of Concept gefunden; dies ist ein fehlender Nachweis, keine bestätigte Abwesenheit.
• CISA-SSVC-Einschätzung: Ausnutzung PoC, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Google Chrome und Chromium-basierte Browser wie Microsoft Edge innerhalb von Tagen auf den neuesten stabilen Build aktualisieren.
• Verwaltete Geräteflotten: aktuellen stabilen Build über MDM- oder Policy-Tools verteilen und die Version überprüfen.
• Ubuntu-Systeme: Version des Chromium-Snaps prüfen, da das Paket chromium-browser nur ein Wrapper ist.
• Priorität erhöhen, wenn Benutzer unsichere Inhalte aufrufen oder sensible Daten bearbeiten.
• Den NVD-Eintrag und den Chromium-Fehler 511325076 überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 511325076 issues.chromium.org
• HKCERT security bulletin on Google Chrome www.hkcert.org
• OSV: Chainguard advisory CGA-h5qf-8hf9-6vcf osv.dev
• Ubuntu security tracker CVE-2026-113146 ubuntu.com
• Vulners: CVE-2026-113146 (CVE list) vulners.com
• TechSpot: Google Chrome download www.techspot.com
• VulDB: sibling CVE-2026-113056 (for differentiation) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:41.