Google Chrome: Speicherfehler in der V8-JavaScript-Engine ermöglicht Codeausführung
Zusammenfassung
Der Desktop-Browser Google Chrome enthält einen Speicherfehler in der JavaScript-Engine V8 (CVE-2026-113192, CVSS 8.8). Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Eine Authentifizierung ist nicht nötig, der Benutzer muss jedoch die manipulierte oder kompromittierte Seite öffnen. Der Hersteller beschreibt keine Sandbox-Ausbrüche; eine vollständige Kompromittierung würde in der Regel eine zweite Schwachstelle erfordern.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47 unter Windows, macOS und Linux
- Die Herstellerquellen unterscheiden sich bei den genauen Builds; alle Builds unterhalb der korrigierten Versionen gelten als betroffen.
Behoben in
- Chrome 156 Stable: 156.0.8078.47 (Linux) und 156.0.8078.48 (Windows, macOS) gemäss Sekundärquellen; nicht gegen den Hersteller-Beitrag verifiziert
- Späteres Stable-Update vom 27. Oktober 2026 (gemeldet als 156.0.8078.73 oder 156.0.8078.74): neueste Stable-Version verwenden
Umgehung
- Dem Hersteller ist kein Workaround bekannt. Die Installation der korrigierten Version ist die Massnahme.
- Bis zur Aktualisierung unbekannte Websites meiden und die automatische Aktualisierung aktiviert lassen.
- Nach dem Update ist ein Neustart des Browsers erforderlich.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
- Der Status im CISA-KEV-Katalog ist nicht verifiziert.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Chrome-Installationen auf die neueste Stable-Version aktualisieren, nicht nur auf 156.0.8078.47.
- Browser neu starten und die Version auf jedem Endgerät prüfen.
- Unter Linux prüfen, ob das Chromium-Snap aktualisiert wurde; das Paket chromium-browser ist nicht betroffen.
- Systeme mit Extended Stable separat prüfen.
- Den Chromium-Fehlerbericht und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- NVD record via Vulners vulners.com
- Ubuntu security tracker ubuntu.com
- Chrome security update guide (October 2026) sandbanksdigital.com
- Chrome 156 security update overview (SecurityOnline) securityonline.info
- Chrome 156 security update (WindowsForum) windowsforum.com
- Mallory: Chrome 156 stories mallory.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.