Google Chrome: Use-after-free in der V8-JavaScript-Engine

Zusammenfassung

Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle in der JavaScript-Engine V8, die mit dem Schweregrad High und einem CVSS-Wert von 9.6 bewertet ist. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Laut CVSS-Vektor ist eine Benutzerinteraktion erforderlich (UI:R), das Opfer muss die Seite also öffnen.

Betroffen

• Google-Chrome-Desktopversionen vor 156.0.8078.47 (gemäss NVD-Beschreibung)
• Auf Chromium basierende Produkte, die den betroffenen Chromium-Code verwenden, etwa Microsoft Edge: betroffener Bereich und korrigierter Build unbekannt, Herstellerhinweis prüfen
• Hinweis: Das Feld für betroffene Versionen im CVE-Eintrag und die Angabe von VulDB (bis 155.0.8059.84) weichen von der NVD-Beschreibung ab; hier wird die NVD-Beschreibung verwendet.

Behoben in

• Chrome 156.0.8078.47 (Linux) sowie 156.0.8078.47/.48 (Windows und Mac), gemäss Googles Stable Channel Update for Desktop (CVE-Zeile im Auszug nicht sichtbar, auf der Seite bestätigen)
• Debian: DSA 6577-1 (22. Okt. 2026) und DLA 4853-1 (23. Okt. 2026)
• Ubuntu: Chromium-Snap aktualisieren, das Paket chromium-browser ist als nicht betroffen markiert
• Mobile Plattformen (Android, iOS): nicht verifiziert, Hinweis von Google prüfen

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme gefunden. Das Aktualisieren auf eine korrigierte Version ist die Massnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden.
• CISA-SSVC-Bewertung im CVE-Eintrag: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Ein Drittanbieter-Tracker listet die CVE nicht im CISA-KEV-Katalog; cisa.gov wurde nicht direkt geprüft.
• Eine broker-artige Preisschätzung von USD 5'000 bis 25'000 existiert (VulDB); dies ist kein Nachweis einer Ausnutzung.

Unsere Empfehlung

• Google Chrome auf allen Desktop-Geräten auf Version 156.0.8078.47 oder neuer aktualisieren und den Browser neu starten, da ein offener alter Prozess weiterhin den verwundbaren Code ausführt.
• Verwaltete Chrome-Update-Richtlinien oder MDM einsetzen, um das Update zu erzwingen, und Geräte mit älteren Versionen nachverfolgen.
• Auf Chromium basierende Browser wie Microsoft Edge sowie Linux-Chromium-Pakete (inklusive Snaps) gemäss Herstellerangaben aktualisieren.
• Für mobile Plattformen den Hinweis von Google prüfen und die Abdeckung bestätigen.
• Auf Meldungen zu Ausnutzung achten, da andere V8-Schwachstellen im Jahr 2026 ausgenutzt wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Vulners CVE record mirror vulners.com
• Microsoft MSRC update guide msrc.microsoft.com
• Ubuntu security tracker ubuntu.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:28.