Google Chrome: Use-after-free in Privacy-Komponente
Zusammenfassung
Google Chrome-Versionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle in der Privacy-Komponente (CWE-416, NVD CVSS 8.8). Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der CVE-Eintrag beschreibt keine Sandbox-Flucht, daher würde eine vollständige Kompromittierung einen weiteren Schritt erfordern. Auch Chromium-basierte Browser wie Microsoft Edge sind betroffen.
Betroffen
- Google Chrome vor 156.0.8078.47 (laut CVE-Eintrag)
- Microsoft Edge vor 156.0.4314.42 (laut HKCERT; mit MSRC bestätigen)
- Andere Chromium-basierte Browser: Herstellerhinweise prüfen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Google Chrome 156.0.8078.48 oder neuer (Windows und macOS, laut Wikipedia; mit Googles Mitteilung bestätigen)
- Microsoft Edge 156.0.4314.42 oder neuer
- Debian- und Ubuntu-Paketversionen: nicht verifiziert.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden; Update einspielen und Browser neu starten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA KEV gelistet.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- EPSS 0.00443 (niedrig).
Unsere Empfehlung
- Chrome und Chromium-basierte Browser auf allen Endgeräten inventarisieren.
- Chrome auf 156.0.8078.47 oder neuer aktualisieren (156.0.8078.48 unter Windows und macOS) und Edge auf 156.0.4314.42 oder neuer.
- Browser neu starten und die laufende Version prüfen.
- Automatische Updates per Gruppenrichtlinie oder MDM erzwingen.
- Innerhalb weniger Tage patchen, da Angriffe über präparierte Webseiten möglich sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulnerabilityDB CVE-2026-113305 (Vulners) vulners.com
- VulDB entry 424637 vuldb.com
- HKCERT security bulletin: Microsoft Edge www.hkcert.org
- Ubuntu CVE tracker ubuntu.com
- Cybersecurity News: Chrome 156 security update cybersecuritynews.com
- Wikipedia: Google Chrome en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.