Google Chrome: Use-after-free in Core ermöglicht Codeausführung ausserhalb der Sandbox

Zusammenfassung

Ein Use-after-free-Fehler in der Komponente Core von Google Chrome auf Android ermöglicht einem entfernten Angreifer, potenziell beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angriff wird ausgelöst, wenn ein Benutzer eine präparierte HTML-Seite öffnet; eine Authentifizierung ist nicht nötig, eine Benutzerinteraktion schon. Chromium stuft die Lücke als Medium ein, während der CVSS-Wert von 9.6 den angenommenen Scope-Wechsel und die volle Auswirkung einer Sandbox-Flucht widerspiegelt.

Betroffen

• Google Chrome für Android vor 156.0.8078.47 (gemäss CVE-Beschreibung)
• Microsoft Edge vor 156.0.4314.42 (nachgelagerter Chromium-Browser, gemäss HKCERT)
• Debian-Pakete chromium (gemäss Tracker betroffen); das Ubuntu-Paket chromium-browser ist ein Skript zur Installation des Chromium-Snaps, der Snap ist der Aktualisierungsweg
• Hinweis: Der Versionsbereich im CVE-Eintrag ist intern widersprüchlich (156.0.8078.47 bis < 156.0.8078.47); hier wird die Beschreibung verwendet.

Behoben in

• Google Chrome für Android: 156.0.8078.47 oder neuer
• Google Chrome Desktop (Windows, macOS, Linux): Chrome-156-Stable-Release vom 20. Oktober 2026
• Microsoft Edge: 156.0.4314.42 oder neuer
• Spätere Chrome-156-Builds (zum Beispiel Android 156.0.8078.79) werden von Drittanbieter-Trackern gemeldet und sollten die Korrektur enthalten; hier nicht durch den Hersteller bestätigt.

Umgehung

• Unbekannt. In den Quellen wurde keine Massnahme gefunden; das Aktualisieren ist die Abhilfe.

Ausnutzung

• CISA KEV: nicht gelistet.
• Öffentlicher Proof of Concept: keiner gefunden.
• Eine Sekundärquelle berichtet, Google habe für kritische Lücken dieses Releases erklärt, es gebe keine Hinweise auf Ausnutzung in freier Wildbahn; dies ist nicht gegen Googles Hinweise geprüft und bezieht sich möglicherweise nicht auf diese CVE.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Chrome auf Android-Geräten auf 156.0.8078.47 oder neuer aktualisieren; sicherstellen, dass die automatische Aktualisierung über Google Play aktiviert ist, oder das Update per MDM verteilen, einschliesslich BYOD-Geräten.
• Chrome auf Desktops und Microsoft Edge unter Windows auf den Chrome-156-Build mit der Korrektur aktualisieren.
• Chromium-Snaps oder Debian-Pakete chromium, falls eingesetzt, aktualisieren.
• Dies innerhalb von Tagen priorisieren für mobile Flotten und Umgebungen mit uneingeschränktem Browsing.
• Den aktuellen Analysestatus und den Score direkt bei NVD prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• Ubuntu security tracker CVE-2026-113263 ubuntu.com
• Vulners CVE-2026-113263 vulners.com
• HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
• Chrome 156 stable what's new (ChromeGeek) www.chromegeek.com
• Chrome release calendar (BrowserCalendar) browsercalendar.com
• CISA KEV status tracker entry (GitHub) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:25.