Google Chrome: Speicherkorruption in Media ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Speicherkorruption in der Komponente Media von Google Chrome erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet, zum Beispiel über einen E-Mail-Link oder eine Website. Chromium stuft die Lücke als Medium ein, und die öffentlichen Informationen beschreiben keine Sandbox-Escape.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47 unter Linux
- Google Chrome Desktop vor 156.0.8078.47/.48 unter Windows und macOS
- Android-Builds: 156.0.8078.47 wird von Sekundärquellen als behobene Version genannt (betroffener Bereich nicht vom Hersteller bestätigt)
- Der offizielle CVE-Eintrag nennt einen widersprüchlichen betroffenen Bereich (156.0.8078.47 bis < 156.0.8078.47); der Sicherheitshinweis des Herstellers sollte geprüft werden.
Behoben in
- Linux und Android: 156.0.8078.47
- Windows und macOS: 156.0.8078.47/.48
- Quelle: Chrome Releases, Stable Channel Update for Desktop, 20. Oktober 2026 (Versionsangaben aus Sekundärberichten; gegen den Sicherheitshinweis des Herstellers prüfen)
Umgehung
- Kein vom Hersteller dokumentierter Workaround. Das Update einspielen.
- Den Browser nach dem Update vollständig neu starten, da möglicherweise noch ein alter Browser-Prozess läuft.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt (Sekundärquelle; Google legt den Ausnutzungsstatus bei Veröffentlichung oft nicht offen).
- CISA-SSVC-Bewertung im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf die behobenen Versionen aktualisieren, mit Priorität auf Windows- und macOS-Systeme und Geräte mit nicht verwalteten Updates.
- Den Browser neu starten und die installierte Version auf jedem Endgerät prüfen, zum Beispiel über Fleet-Management oder Chrome-Policy-Werkzeuge.
- Das Update zusammen mit den übrigen Korrekturen in Chrome 156 einspielen, die insgesamt 353 Sicherheitskorrekturen enthalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- NVD mirror (Vulners): CVE-2026-113257 vulners.com
- HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- Cybersecuritynews: Chrome security update fixing 353 flaws cybersecuritynews.com
- Ubuntu security: CVE-2026-113257 ubuntu.com
- Windowsforum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.