Google Chrome: Speicherbeschädigung in Extensions ermöglicht Codeausführung
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der Komponente Extensions. Ein entfernter Angreifer kann mit einer manipulierten HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Für einen Angriff muss ein Benutzer die bösartige Seite aufrufen, und Google stuft den Chromium-Schweregrad als mittel ein. Laut Drittquellen ist auch Microsoft Edge betroffen, da es auf Chromium basiert.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Microsoft Edge vor 156.0.4314.42 (gemäss HKCERT; für die massgebliche Version MSRC prüfen)
- Debian-Pakete chromium (DSA 6577-1, DLA 4853-1 listen diese CVE; Paketversionen nicht verifiziert)
- Hinweis: Der Versionsbereich im offiziellen CVE-Eintrag ist inkonsistent ("156.0.8078.47 bis < 156.0.8078.47"); es wird die Beschreibung verwendet.
Behoben in
- Google Chrome 156.0.8078.47 (Linux und Android)
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 (Windows und macOS, gemäss Drittquellen)
- Microsoft Edge 156.0.4314.42 (gemäss HKCERT)
Umgehung
Unbekannt. Es wurde keine vom Hersteller empfohlene Zwischenmassnahme gefunden; das Einspielen des Patches ist die Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; eine Zusammenfassung des Chrome-156-Releases nennt keine bekannten ausgenutzten Schwachstellen.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome- und Edge-Endgeräte im normalen Patch-Zyklus auf die korrigierten Versionen aktualisieren; zuerst internetexponierte und nicht verwaltete Geräte priorisieren.
- Die laufende Browserversion prüfen und den Browser nach dem Update neu starten, da alte Prozesse weiterlaufen können.
- Das gesamte Chrome-156-Release einspielen, das 353 Sicherheitskorrekturen enthält, darunter sechs kritische.
- Herstellerhinweise auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB 424640 vuldb.com
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Vulners CVELIST:CVE-2026-113307 vulners.com
- TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
- Windowsforum: Chrome 156 security update windowsforum.com
- Strix: CVE-2026-113307 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.