Google Chrome: Use after free in Core ermöglicht Codeausführung ausserhalb der Sandbox
Zusammenfassung
Ein Use-after-free-Fehler in der Komponente Core von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Für den Angriff genügt eine präparierte HTML-Seite, die der Benutzer öffnen muss, etwa über einen Phishing-Link oder eine kompromittierte Website. Die NVD bewertet die Lücke als kritisch (CVSS 9.6), Google stuft sie als mittel ein. Auch auf Chromium basierende Browser wie Microsoft Edge sind betroffen.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.47 (gemäss NVD)
- Auf Chromium basierende Browser, die die Korrektur noch nicht übernommen haben, z.B. Microsoft Edge vor 156.0.4314.42 (gemäss HKCERT)
Behoben in
- Google Chrome 156 (Stable, veröffentlicht am 20. Oktober 2026); Mindestversion 156.0.8078.47
- Die neueste Stable-Version installieren, da spätere Builds (z.B. 156.0.8078.73 unter Linux) gemäss Berichten ebenfalls die Korrektur enthalten
- Microsoft Edge 156.0.4314.42 oder neuer
- Ubuntu: Das Snap-Update des Chromium-Pakets liefert die Korrektur
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden; das Einspielen des Updates ist die Behebung.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Keine bestätigte Ausnutzung in freier Wildbahn
- Gemäss einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; nicht direkt geprüft
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Hohe Priorität: Alle Chrome-Endgeräte diese Woche auf die neueste Stable-Version aktualisieren
- Die installierte Version auf jedem Gerät prüfen und sicherstellen, dass der Browser neu gestartet wurde, da Chrome Updates erst nach einem Neustart anwendet
- Auch Microsoft Edge sowie alle anderen auf Chromium basierenden oder eingebetteten Browser aktualisieren
- Automatische Updates aktiviert lassen und Hersteller-Advisories überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 514016335 issues.chromium.org
- VulDB entry 424543 vuldb.com
- Vulners NVD record CVE-2026-113189 vulners.com
- HKCERT bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Ubuntu security tracker CVE-2026-113189 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.