Google Chrome für iOS: Use-after-free in der Navigationskomponente
Zusammenfassung
Google Chrome für iOS vor 156.0.8078.47 enthält einen Use-after-free-Fehler (CWE-416) in der Navigationskomponente. Ein entfernter Angreifer kann durch einen präparierten HTML-Inhalt, den er einem Benutzer unterschiebt, beliebigen Code innerhalb der Browser-Sandbox ausführen. Eine Benutzerinteraktion ist erforderlich, und der CVSS-3.1-Basiswert beträgt 8.8.
Betroffen
- Google Chrome auf iOS vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Genauer betroffener iOS-Build-Bereich: nicht verifiziert, da der CVE-Eintrag einen widersprüchlichen Bereich angibt
Behoben in
- Chrome 156.0.8078.47 (gemäss CVE-Beschreibung)
- iOS-Build-Nummer mit dem Fix: unbekannt, Bestätigung über die iOS-Release-Notes von Google oder den App Store
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert. Chrome für iOS aktualisieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Chrome für iOS über den App Store auf die neueste Version aktualisieren und die installierte Version prüfen
- App-Store-Updates auf verwalteten iPhones und iPads per MDM (zum Beispiel Intune oder Jamf) erzwingen
- Nicht verwaltete oder BYOD-Geräte priorisieren, bei denen Updates oft verzögert erfolgen
- Chrome-Updates als Routine behandeln, da Chrome 156 viele weitere Schwachstellen behoben hat
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 553119084 issues.chromium.org
- Vulners CVE record CVE-2026-113236 vulners.com
- Strix CVE-2026-113236 www.strix.ai
- Security Online: Chrome 156 security update securityonline.info
- Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.