Google Chrome: Unzureichende Eingabevalidierung in Network
Zusammenfassung
Google Chrome-Versionen vor 156.0.8078.47 enthalten eine unzureichende Eingabevalidierung in der Network-Komponente (CWE-20). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die Seite laden, beispielsweise über einen Phishing-Link. Chromium stuft die Schwachstelle als gering ein, und es ist weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47
- Andere Chromium-basierte Browser, die den Chromium-Fix übernehmen, zum Beispiel Microsoft Edge
- Linux-Systeme, auf denen Chromium als Snap installiert ist (das Ubuntu-Paket chromium-browser installiert nur das Snap)
Behoben in
- Chrome 156.0.8078.47 (Linux) und 156.0.8078.48 (Windows, macOS) gemäss Sekundärquellen; auf der Advisory-Seite von Google überprüfen
- Aktueller Stable-Kanal: 156.0.8078.79/.80 für Windows und Mac gemäss Techspot
- Distributions-Advisories: Debian DSA 6577-1 und DLA 4853-1, FreeBSD f4f0bb8d-ce20-11f1-9bfa-a8a1599412c6 (nicht direkt abgerufen)
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenlösung gefunden. Stattdessen die korrigierte Version installieren.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn; ein Drittanbieter-Tracker führt die Schwachstelle nicht im KEV-Katalog (Stand 20. Oktober 2026)
- Kein öffentlicher Proof of Concept gefunden
- Chromium-Sicherheitsschweregrad: gering
- EPSS 0.00452 gemäss einem Drittanbieter-Aggregator (nur als Richtwert)
Unsere Empfehlung
- Sicherstellen, dass alle Chrome- und Chromium-basierten Browser Version 156.0.8078.47 oder neuer einsetzen, vorzugsweise den aktuellen Stable-Build
- Automatische Updates erzwingen und Browserversionen über MDM oder Chrome-Richtlinien prüfen
- Linux-Systeme prüfen, die Chromium-Pakete oder Snaps verwenden
- Mitarbeitende an die Browser-Update-Richtlinie erinnern
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 524695296 issues.chromium.org
- Vulners: NVD record CVE-2026-113306 vulners.com
- Vulners: CVELIST record CVE-2026-113306 vulners.com
- Ubuntu security tracker CVE-2026-113306 ubuntu.com
- Techspot: Google Chrome downloads www.techspot.com
- Strix: CVE-2026-113306 www.strix.ai
- Wikipedia: Google Chrome en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.