Google Chrome: Use-after-free in der ANGLE-Grafikschicht
Zusammenfassung
Google Chrome enthält eine Use-after-free-Schwachstelle in ANGLE, der Abstraktionsschicht für Grafik. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Sandbox des Browsers ausführen. Dafür muss das Opfer die Seite öffnen; eine Anmeldung ist nicht nötig. Google stuft die Schwachstelle als mittel ein, und die Sandbox begrenzt die Auswirkungen für sich allein.
Betroffen
- Google Chrome vor 156.0.8078.47 (CNA-Beschreibung). VulDB nennt einen abweichenden Bereich (bis 155.0.8059.84); hier wird die CNA-Beschreibung verwendet.
Behoben in
- Google Chrome 156.0.8078.47 (gemäss CVE-Beschreibung; nicht gegen die Herstellermeldung geprüft)
- Neuere Versionen sollten den Fix enthalten (Annahme)
- Microsoft Edge 156.0.4314.42 (HKCERT)
Umgehung
- Nicht nötig, wenn die gepatchte Version installiert ist.
- Kein Workaround des Herstellers identifiziert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; CISA-SSVC: Exploitation none; laut Strix nicht im KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden; Exploit-Datenbanken nicht geprüft.
- VulDB schätzt den Exploit-Preis auf 5.000–25.000 USD; dies ist eine Marktschätzung, kein Beleg für Ausnutzung.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf 156.0.8078.47 oder neuer aktualisieren; die automatische Aktualisierung ist der schnellste Weg.
- Auch Microsoft Edge und weitere Chromium-basierte Browser aktualisieren und den Browser nach dem Update neu starten.
- Installierte Versionen auf allen Endgeräten prüfen und sich nicht allein auf Versionsangaben Dritter verlassen.
- Browser-Updates überwachen und auffälliges Browserverhalten beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB CVE-2026-113250 vuldb.com
- Strix CVE-2026-113250 www.strix.ai
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Ubuntu security CVE-2026-113250 ubuntu.com
- Vulners Ubuntu CVE-2026-113250 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.