Google Chrome: Unzureichende Eingabevalidierung in der Browser-Komponente
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Browser-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Renderer-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite aufruft. Auf Chromium basierende Browser wie Microsoft Edge verwenden denselben Chromium-Code und sind daher ebenfalls betroffen. Der Schweregrad laut Chromium wird als Medium eingestuft.
Betroffen
- Google Chrome vor 156.0.8078.47 (Windows, Mac, Linux)
- Auf Chromium basierende Browser, die die Korrektur noch nicht übernommen haben, etwa Microsoft Edge
Behoben in
- Google Chrome 156.0.8078.47 oder neuerer 156-Stable-Build (Herstellerhinweise; genaue Windows- und Mac-Builds nicht verifiziert)
- Linux-Distributionen: Sicherheitshinweis der Distribution für das Chromium-Paket prüfen; Ubuntu listet sein chromium-browser-Paket als nicht betroffen und verweist auf das Chromium-Snap
Umgehung
Unbekannt. Es wurde kein Workaround gefunden; das Aktualisieren des Browsers ist die Korrektur.
Ausnutzung
- In den geprüften Quellen wird keine Ausnutzung in freier Wildbahn gemeldet.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung. Der CISA-KEV-Status wurde nicht verifiziert.
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf den neuesten 156-Stable-Build aktualisieren, mindestens 156.0.8078.47.
- Den Browser nach dem Update neu starten, damit die neue Version aktiv ist.
- Geräte prüfen, die nicht neu gestartet werden oder separat verwaltet sind.
- Chromium-Fehlereintrag und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 553153823 issues.chromium.org
- NVD record via Vulners: CVE-2026-113230 vulners.com
- Ubuntu security: CVE-2026-113230 ubuntu.com
- Chrome 156 stable update for Windows, Mac and Linux (browserhow) browserhow.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.