Google Chrome: Speicherbeschädigung in ANGLE ermöglicht Codeausführung im Sandkasten
Zusammenfassung
Google Chrome unter Windows vor 156.0.8078.47 enthält eine Speicherbeschädigung in ANGLE, der Grafik-Übersetzungsschicht von Chromium. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb des Browser-Sandkastens ausführen. Der Angriff erfordert eine Benutzerinteraktion, aber keine Authentifizierung. Chromium stuft die Lücke als hoch ein, der CVSS-Wert beträgt 8.8.
Betroffen
- Google Chrome unter Windows vor 156.0.8078.47
- Auf Chromium basierende Browser, welche die Chromium-Korrektur noch nicht integriert haben
Behoben in
- Google Chrome 156.0.8078.47 für Windows (Herstellerveröffentlichung vom 20. Oktober 2026; Sekundärquellen nennen auch .48, .47 gilt als Mindestversion)
Umgehung
Unbekannt. Kein vom Hersteller dokumentierter Workaround. Das Aktualisieren von Chrome ist die Korrektur.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Exploit und kein Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle Windows-Installationen von Chrome auf 156.0.8078.47 oder neuer aktualisieren und alle Arbeitsstationen priorisieren.
- Microsoft Edge und andere auf Chromium basierende Browser auf ihre eigenen Korrekturversionen prüfen.
- Automatische Updates per Richtlinie erzwingen und die installierte Version überprüfen.
- Benutzer bis zur vollständigen Aktualisierung vor verdächtigen Links und nicht vertrauenswürdigen Webseiten warnen.
- CISA KEV und die Herstellerwarnung auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 550626693 issues.chromium.org
- NVD record via Vulners vulners.com
- Microsoft advisory via Vulners vulners.com
- Chrome 156 stable update for Windows, Mac and Linux browserhow.com
- Ubuntu security notice ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.