Google Chrome für Android: Use after Free in SiteIsolation
Zusammenfassung
Ein Use-after-Free-Fehler in SiteIsolation, der Prozessisolationskomponente von Chrome, betrifft Chrome für Android vor 156.0.8078.47. Ein entfernter Angreifer kann über eine manipulierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die schädliche Seite öffnen, eine Anmeldung ist nicht erforderlich. Ein Ausbruch aus der Sandbox wird im CVE-Eintrag nicht beschrieben.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
Behoben in
- Google Chrome für Android 156.0.8078.47 oder neuer (gemäss CVE-Beschreibung und Sekundärmeldungen; neuere Android-Builds enthalten den Fix ebenfalls)
Umgehung
- Keine bekannt. Update installieren und den Browser neu starten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn in den geprüften Quellen gefunden.
- Kein öffentlicher Proof of Concept gefunden. Details zum Chromium-Issue könnten eingeschränkt sein.
- CVSS 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Google stuft den Chromium-Sicherheitsschweregrad als Mittel ein.
Unsere Empfehlung
- Chrome-Version auf verwalteten und privaten (BYOD) Android-Geräten prüfen und sicherstellen, dass mindestens 156.0.8078.47 installiert ist, idealerweise die aktuelle Stable-Version.
- Chrome-Updates über MDM oder Google Play erzwingen und Geräte mit älteren Versionen nachverfolgen.
- Nach dem Update Chrome neu starten und Mitarbeitende für Phishing-Links auf nicht vertrauenswürdige Webseiten sensibilisieren.
- Versionsangaben vor dem Rollout mit der Google-Advisory abgleichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113207 msrc.microsoft.com
- Vulners NVD record CVE-2026-113207 vulners.com
- Positive Technologies PT-2026-118904 vulners.com
- Chrome 156 security update (Windows Forum) windowsforum.com
- Google Chrome (Wikipedia) en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.