Google Chrome: Use-after-free in Autofill auf Android
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Autofill von Google Chrome für Android erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angriff erfordert, dass der Benutzer eine präparierte HTML-Seite öffnet, eine Anmeldung ist nicht nötig. NVD stuft die Schwachstelle mit 8.8 (hoch) ein, Googles Chromium-Schweregrad ist Mittel.
Betroffen
- Google Chrome für Android vor 156.0.8078.47 (gemäss NVD)
- VulDB listet stattdessen Google Chrome bis 155.0.8059.84; dieser Drittanbieter-Bereich widerspricht NVD und ist vom Hersteller nicht bestätigt.
Behoben in
- Google Chrome für Android 156.0.8078.47 oder neuer. Installieren Sie die neueste Stable-Version.
Umgehung
Keine Workaround nötig; Update einspielen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Aktualisieren Sie Chrome auf allen Android-Geräten über Google Play auf 156.0.8078.47 oder neuer, vorzugsweise auf die neueste Stable-Version.
- Prüfen Sie die installierte Version auf verwalteten Geräten unter chrome://version und erzwingen Sie automatische Updates.
- Berücksichtigen Sie auch private Geräte (BYOD), die auf Firmendaten zugreifen.
- Priorisieren Sie mobile Geräte; die Behebung ist mit wenig Aufwand verbunden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 562236428 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113170 msrc.microsoft.com
- Vulners: CVE-2026-113170 vulners.com
- VulDB entry 424384 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.