Google Chrome: Use after free in ReadingMode
Zusammenfassung
Ein Use-after-free-Fehler in der Funktion ReadingMode von Google Chrome erlaubt einem entfernten Angreifer, Code innerhalb der Sandbox des Browsers auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen. Chromium stuft den Fehler als Low ein, und der CNA-Text beschreibt eine Auswirkung, die auf die Sandbox begrenzt ist; eine vollständige Kompromittierung des Systems würde vermutlich eine zweite Schwachstelle erfordern.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Chromium-basierte Browser, die den betroffenen Code enthalten, etwa Microsoft Edge, je nach Release
- Ubuntu chromium-browser (Snap) ist als nicht betroffen markiert
Behoben in
- Google Chrome 156.0.8078.47 oder neuer; neuere Stable-Builds sind verfügbar (gemäss Drittquellen z. B. 156.0.8078.79/.80)
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT-Meldung)
- Debian-chromium-Updates unter DSA 6577-1 und DLA 4853-1 (fixierte Versionen nicht verifiziert)
Umgehung
- Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt; das Einspielen des Updates ist die Massnahme.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; laut einem Drittanbieter-Aggregator nicht im KEV-Katalog.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Chrome und Chromium-basierten Edge auf allen Endgeräten auf den neuesten Stable-Build aktualisieren.
- Verwaltete Installationen auf angehaltene automatische Updates prüfen und die installierte Version kontrollieren.
- Updates von Debian und anderen Linux-Distributionen für ihre Chromium-Pakete beobachten.
- Die Priorisierung orientiert sich an der Chromium-Einstufung Low und der auf die Sandbox begrenzten Auswirkung, die Installation sollte jedoch nicht aufgeschoben werden, da der CVSS-Wert 8.8 beträgt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu CVE-2026-113274 ubuntu.com
- HKCERT Microsoft Edge security bulletin www.hkcert.org
- Vulners CVE-2026-113274 vulners.com
- Strix CVE-2026-113274 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.