Google Chrome: Speicherfehler in der GPU-Komponente
Zusammenfassung
Google Chrome enthält einen Speicherfehler in der GPU-Komponente (CWE-119). Ein entfernter Angreifer kann potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Es sind keine Berechtigungen nötig, aber eine Interaktion des Benutzers. Das NVD bewertet die Schwachstelle mit CVSS 8.8 (hoch). Eine Ausnutzung in der Praxis ist nicht bestätigt.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss NVD-Beschreibung)
- Die Build-Nummern je Plattform unterscheiden sich in Drittquellen; die genaue Liste steht in der offiziellen Google-Mitteilung.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (minimal korrigierter Build)
- Gemäss Drittquellen sind neuere Stable-Versionen verfügbar; die aktuellste Stable-Version installieren.
Umgehung
- Keine bekannte Umgehungsmassnahme. Das Aktualisieren von Chrome ist die Korrektur.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- Eintrag im CISA KEV: nicht gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf die neueste Stable-Version aktualisieren, nicht nur auf 156.0.8078.47.
- Die Version über Hilfe > Über Google Chrome prüfen.
- Updates auf verwalteten Geräten zentral verteilen und sicherstellen, dass die automatische Aktualisierung aktiv ist.
- Bis alle Geräte gepatcht sind, auf ungewöhnliche Browser-Abstürze und verdächtige Webinhalte achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- VulDB entry vuldb.com
- Vulners CVE record vulners.com
- Chrome Stable update for ChromeOS chromereleases.googleblog.com
- Chrome 156 stable update overview (Windows, Mac, Linux) browserhow.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.