Google Chrome: Use-after-free in DOM ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der DOM-Komponente des Google-Chrome-Desktopbrowsers erlaubt es einem Angreifer aus der Ferne, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dazu muss eine Person eine präparierte HTML-Seite aufrufen, es ist also eine Benutzerinteraktion nötig, und kein Login. Chromium stuft die Schwachstelle als mittel ein, der CVSS-3.1-Wert beträgt 8.8; eine Codeausführung nur innerhalb der Sandbox führt in der Regel jedoch nicht zur vollständigen Systemkontrolle.
Betroffen
- Google Chrome Desktop für Linux vor 156.0.8078.47 (Sekundärquellen)
- Google Chrome Desktop für Windows und macOS vor 156.0.8078.47 (einige Berichte nennen 156.0.8078.48; der offizielle CVE-Eintrag gibt den Versionsbereich uneinheitlich an)
- Microsoft Edge (Chromium-basiert) vor 156.0.4314.42 (HKCERT)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux); 156.0.8078.47 oder neuer, vorzugsweise 156.0.8078.48 oder neuer (Windows, macOS)
- Microsoft Edge 156.0.4314.42 oder neuer
- Ubuntu: chromium-browser wird als nicht betroffen aufgeführt; stattdessen das Chromium-Snap prüfen
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Browser nach dem Update neu starten, da alte Browserprozesse weiterlaufen können.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden (nur Sekundärquellen).
- Kein öffentlicher Proof of Concept gefunden.
- Status im CISA-KEV-Katalog: unbekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf 156.0.8078.47 oder neuer aktualisieren, vorzugsweise auf den neuesten Chrome-156-Stable-Build.
- Browser nach dem Update neu starten.
- Den Update-Status auf allen verwalteten Geräten über Update-Berichte prüfen, einschliesslich nicht verwalteter Geräte und lang laufender Sitzungen.
- Chromium-basierte Browser und auf Ubuntu-Systemen das Chromium-Snap prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 553845833 issues.chromium.org
- NVD record mirror (Vulners) vulners.com
- Ubuntu security CVE-2026-113187 ubuntu.com
- HKCERT security bulletin: Microsoft Edge www.hkcert.org
- Chrome 156 security update (CyberSecurityNews) cybersecuritynews.com
- Security notice Google Chrome 156 stable (TechGeeks) www.techgeeks.org
- Chrome 156 update (WindowsForum) windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.