Google Chrome: Use after free in Editing-Komponente
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Editing-Komponente von Google Chrome erlaubt einem entfernten Angreifer, Code innerhalb der Browser-Sandbox auszuführen. Die Ausnutzung setzt voraus, dass ein Opfer eine präparierte HTML-Seite öffnet, zum Beispiel über einen Phishing-Link oder eine bösartige Website. Chromium stuft das Problem als Low ein, und es sind weder Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Laut einer Drittquelle ist auch Microsoft Edge (Chromium-basiert) betroffen; bei MSRC überprüfen
- Ubuntu-Paket chromium-browser: nicht betroffen (Ubuntu liefert Chromium als Snap, der von dieser Aussage nicht abgedeckt ist)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Stable Channel Update for Desktop, 20. Oktober 2026)
- Aktuelle Desktop-Builds: Windows und macOS 156.0.8078.48; Linux 156.0.8078.47
- Spätere 156-Builds decken diese CVE ebenfalls ab; genauen Build anhand der Herstellerwarnung bestätigen
- Microsoft Edge: 156.0.4314.42 oder neuer laut einer Drittquelle (nicht verifiziert)
Umgehung
- Unbekannt. Keine Workaround-Massnahme vom Hersteller dokumentiert; das Patchen ist die Abhilfe.
- Browser-Neustarts nach Updates erzwingen und die Build-Version flottenweit prüfen, zum Beispiel über verwaltete Chrome-Update-Richtlinien.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; kein Eintrag im CISA-KEV-Katalog bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- EPSS-Score 0.00406 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Alle Google-Chrome- und Microsoft-Edge-Installationen auf Chrome 156.0.8078.47 oder neuer aktualisieren (vorzugsweise den neuesten 156-Build).
- Sicherstellen, dass die Browser nach dem Update neu gestartet werden, da die neue Version erst nach einem Neustart wirksam wird.
- Die installierte Version auf allen Arbeitsplätzen überprüfen, zum Beispiel über verwaltete Update-Richtlinien oder Inventarisierungswerkzeuge.
- Arbeitsplätze mit regelmässigem Web-Browsing priorisieren; Webfilter und Phishing-Schutz aktiv halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Microsoft MSRC update guide msrc.microsoft.com
- Ubuntu security tracker ubuntu.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Vulners CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.