Google Chrome: Use-after-free in Glic ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Glic des Google Chrome Desktop-Browsers erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dazu, dass das Opfer eine präparierte HTML-Seite lädt, es ist also eine Benutzerinteraktion erforderlich. Die NVD bewertet die CVE mit CVSS 3.1 8.8 (Hoch), und die Beschreibung nennt keine weiteren Bedingungen für eine Sandbox-Umgehung.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47
- Komponente Glic von Google Chrome
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (gemäss CVE-Beschreibung; aktuellen Stable-Build im Chrome-Releases-Blog prüfen)
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT)
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt bekannt (KEV: Nein in einem älteren Aggregator-Snapshot).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Google Chrome auf 156.0.8078.47 oder neuer und Microsoft Edge auf 156.0.4314.42 oder neuer auf allen Systemen aktualisieren.
- Browser nach dem Update neu starten, da Neustarts oft verzögert werden.
- Installierte Versionen auf allen Arbeitsplätzen prüfen, auch bei Mitarbeitenden mit Chromium-basierten Browsern.
- Auf Meldungen zur Ausnutzung achten und Updates erneut einspielen, falls ein späterer Build angekündigt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 505994167 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113155 msrc.microsoft.com
- HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Vulners: CVE-2026-113155 vulners.com
- Ubuntu security tracker: CVE-2026-113155 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.