Google Chrome: Speicherverfälschung in FullScreen erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome für Desktop enthält eine Speicherverfälschung in der Komponente FullScreen (CVE-2026-113149). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die Seite des Angreifers öffnet; eine Authentifizierung ist nicht nötig. Der Chromium-Fehlerbericht beschreibt die zugrunde liegende Ursache so, dass der Vollbildmodus gewährt wird, während ein modaler Dialog pro Tab angezeigt wird, was UI-Spoofing ermöglichen könnte; die offizielle Einstufung bleibt Speicherverfälschung.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.47
- Windows und macOS: Einige Quellen nennen 156.0.8078.48 als korrigierte Version, daher gelten dort Versionen vor 156.0.8078.48 als betroffen
- Android-Versionen vor 156.0.8078.47 werden von einer Drittquelle ebenfalls aufgeführt
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Google Chrome 156.0.8078.48 oder neuer (Windows und macOS; anhand der Herstellerankündigung prüfen)
Umgehung
Unbekannt. In den Quellen ist keine Workaround dokumentiert. Das Update installieren.
Ausnutzung
- In freier Wildbahn: Keine Hinweise gefunden. Ein Eintrag im CISA-KEV-Katalog konnte nicht bestätigt werden.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Chrome auf allen Desktops so bald wie möglich auf 156.0.8078.48 oder neuer (Windows und macOS) bzw. 156.0.8078.47 oder neuer (Linux) aktualisieren.
- Den Browser nach dem Update neu starten, damit die neue Version wirksam wird.
- Die installierte Version auf jedem Endgerät prüfen, auch auf verwalteten Geräten, statt sich nur auf die Update-Meldung zu verlassen.
- Microsoft Edge und andere Chromium-basierte Browser separat anhand des MSRC-Eintrags prüfen sowie die Chromium-Pakete von Debian und Ubuntu kontrollieren.
- Das gesamte Chrome-156-Release einspielen, da es 353 weitere Sicherheitslücken behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 517221283 issues.chromium.org
- Microsoft MSRC Security Update Guide entry msrc.microsoft.com
- Ubuntu security notice CVE-2026-113149 ubuntu.com
- Vulners NVD record CVE-2026-113149 vulners.com
- Strix CVE record CVE-2026-113149 www.strix.ai
- GBHackers: Chrome 156 fixes 353 security vulnerabilities gbhackers.com
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.