Google Chrome: Use after free in Accessibility ermöglicht Codeausführung
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Accessibility. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Sandbox des Chrome-Renderers ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite öffnet; eine Authentifizierung ist nicht nötig.
Betroffen
- Google Chrome Versionen vor 156.0.8078.47
- Chromium-basierte Builds, die die betroffene Komponente Accessibility enthalten (genaue Abdeckung im Hersteller-Advisory prüfen)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows- und macOS-Builds sind mit 156.0.8078.48 aufgeführt, Linux mit 156.0.8078.47)
- Aktuelle Builds des Stable-Kanals (156.0.8078.79 oder neuer für Linux, 156.0.8078.79/.80 für Windows und Mac) werden empfohlen
- Linux-Distributionen: Debian DSA 6577-1 und DLA 4853-1 prüfen; Ubuntu chromium-browser ist ein Snap-Wrapper, daher Snap-Refresh prüfen
Umgehung
- Keine Workaround des Herstellers bekannt. Das Einspielen des Updates ist die Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA KEV: nicht verifiziert (ein Drittanbieter-Snapshot zeigt Nein).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten prioritär auf den aktuellen Stable-Build aktualisieren, da der Fix seit dem 20. Oktober 2026 verfügbar ist.
- Automatische Updates aktivieren und über verwaltete Chrome-Richtlinien durchsetzen.
- Linux- und Ubuntu-Chromium-Installationen separat prüfen (deb- oder Snap-Update).
- Installierte Versionen zentral erfassen und die Verteilung des Updates bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Vulners CVE-2026-113271 vulners.com
- Ubuntu CVE-2026-113271 ubuntu.com
- GBHackers: Google Chrome 156 fixes 353 security vulnerabilities gbhackers.com
- Strix CVE-2026-113271 www.strix.ai
- TechSpot Google Chrome download www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.