Google Chrome: Use-after-Free in Turbolev erlaubt Codeausführung in Sandbox

Zusammenfassung

Google Chrome auf Desktop und Android enthält eine Use-after-Free-Schwachstelle in der Komponente Turbolev, erfasst als CVE-2026-113160 und mit dem Schweregrad High bewertet (CVSS 3.1: 8.8). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert keine Anmeldung, das Opfer muss die Seite jedoch öffnen, weshalb Phishing-Links und schädliche Werbung die wahrscheinlichen Angriffswege sind. Ob für eine vollständige Kompromittierung des Systems zusätzlich ein Sandbox-Escape nötig ist, ist unbekannt.

Betroffen

• Google Chrome vor 156.0.8078.47 (CVE-Eintrag)
• Microsoft Edge vor 156.0.4314.42 (HKCERT-Meldung, nicht gegen den Hersteller verifiziert)
• Chromium-basierte Browser, die das entsprechende Update noch nicht erhalten haben

Behoben in

• Chrome 156.0.8078.47 oder neuer (Linux und Android, laut Sekundärquellen)
• Chrome 156.0.8078.47 oder 156.0.8078.48 oder neuer (Windows und macOS, laut Sekundärquellen)
• Microsoft Edge 156.0.4314.42 oder neuer (HKCERT)
• Unbekannt: ob für diese CVE ein neuerer Chrome-Build nötig ist; die Herstellerankündigung konnte nicht abgerufen werden und sollte geprüft werden

Umgehung

• Keine Workaround-Massnahme dokumentiert. Chrome aktualisieren und den Browser neu starten.
• Die installierte Version nach dem Update prüfen, da die Verteilung mehrere Tage oder Wochen dauert.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Eintrag im CISA-KEV-Katalog: nicht bestätigt; direkt im Katalog prüfen.
• EPSS-Wert 0.00443 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Chrome-Version auf allen Desktops und Android-Geräten prüfen und auf den neuesten stabilen Build aktualisieren.
• Microsoft Edge und andere Chromium-basierte Browser gegen 156.0.4314.42 oder neuer prüfen.
• Chromium auf Linux-Systemen über die Distribution aktualisieren, einschliesslich Snap-basierter Installationen.
• Sicherstellen, dass die Browser nach dem Update neu gestartet wurden.
• Den CISA-KEV-Katalog auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Microsoft Security Update Guide: CVE-2026-113160 msrc.microsoft.com
• Ubuntu security tracker: CVE-2026-113160 ubuntu.com
• HKCERT security bulletin: Microsoft Edge www.hkcert.org
• Vulners CVE listing: CVE-2026-113160 vulners.com
• Cybersecurity News: Chrome security update cybersecuritynews.com
• Strix: CVE-2026-113160 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:30.