Google Chrome: Use after free in Extensions ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Extensions-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss den Benutzer dazu bringen, eine präparierte HTML-Seite zu besuchen; ein Konto ist nicht erforderlich. Der CVSS-Basiswert laut NVD beträgt 8.8, während der Chromium-Schweregrad als Medium eingestuft ist.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Microsoft Edge und andere Chromium-basierte Builds: Betroffenheit unbekannt, Build-Nummern nicht bestätigt
Behoben in
- Google Chrome 156.0.8078.47 (Linux und Android, gemäss Sekundärquellen)
- Google Chrome 156.0.8078.47 oder .48 (Windows und macOS, gemäss Sekundärquellen)
- Wortlaut der Herstellermeldung nicht bestätigt; anhand des Chrome-Releases-Beitrags prüfen
- Paketversionen von Debian und FreeBSD: unbekannt
Umgehung
Unbekannt. Es wurde keine CVE-spezifische Zwischenmassnahme gefunden. Die Behebung erfolgt durch ein Update von Chrome.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt (Aussage auf Release-Ebene, nicht CVE-spezifisch)
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- VulDB schätzt den Exploit-Markt auf USD 5'000 bis 25'000 (Schätzung, kein Hinweis auf Einsatz)
Unsere Empfehlung
- Chrome auf allen Endgeräten auf 156.0.8078.47 oder neuer aktualisieren und den Browser danach neu starten
- Die installierte Version auf jedem Endgerät prüfen und die Verteilung über Managed Policies bestätigen
- Chromium-basierte Edge-Endgeräte auf den vom Hersteller bestätigten Fix-Build aktualisieren
- Extension-Installationen auf eine genehmigte Liste beschränken, da die Schwachstelle in der Extensions-Komponente liegt
- Ungewöhnliches Browserverhalten auf Endgeräten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 514080341 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113278 msrc.microsoft.com
- Vulners: CVE-2026-113278 vulners.com
- VulDB 424607 vuldb.com
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.