Google Chrome: Use-after-free in Accessibility ermöglicht Codeausführung in Sandbox

Zusammenfassung

Ein Use-after-free-Fehler in der Accessibility-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für den Angriff muss ein Opfer eine manipulierte HTML-Seite aufrufen, weshalb Phishing oder eine kompromittierte Website der realistische Weg ist. Die Codeausführung innerhalb der Sandbox ist allein keine vollständige Kompromittierung, kann aber als Ausgangspunkt für eine Sandbox-Flucht dienen. Chromium stuft den Fehler als Medium ein, CVSS 3.1 bewertet ihn mit 8.8 (hoch).

Betroffen

• Google Chrome vor 156.0.8078.47 (Angabe des CNA)
• Chromium-basierte Browser, die die Korrektur noch nicht übernommen haben, etwa Microsoft Edge vor 156.0.4314.42 (laut HKCERT)
• Linux-Distributionen: Prüfen Sie die Advisories Ihrer Distribution, da die Paketierung abweicht (Ubuntu führt sein chromium-browser-Snap als nicht betroffen)

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Linux und Android)
• Google Chrome 156.0.8078.47 oder 156.0.8078.48 oder neuer (Windows und macOS, laut Sekundärquellen)
• Microsoft Edge 156.0.4314.42 oder neuer
• Die Release-Mitteilung von Google konnte während der Recherche nicht abgerufen werden; die genauen Build-Nummern sind dagegen zu prüfen.

Umgehung

• Keine dokumentiert. Abhilfe schafft das Aktualisieren von Chrome und ein Neustart des Browsers, da nach einer Update-Meldung oft noch ein alter Browserprozess läuft.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• Kein Eintrag im CISA-KEV-Katalog gefunden; prüfen Sie den KEV-Katalog direkt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Aktualisieren Sie Google Chrome auf allen Endgeräten auf die korrigierte Version und starten Sie den Browser neu.
• Prüfen Sie die installierte Version auf jedem Gerät, statt von einer erfolgreichen automatischen Aktualisierung auszugehen, besonders in verwalteten Flotten.
• Aktualisieren Sie auch Chromium-basierte Browser (Edge, Brave, Opera und ähnliche) und prüfen Sie die Advisories der Linux-Distributionen.
• Sensibilisieren Sie Benutzer für Links und Anhänge aus unbekannten Quellen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• Vulners: CVE-2026-113319 (CVELIST) vulners.com
• Ubuntu security: CVE-2026-113319 ubuntu.com
• OffSeq Radar: CVE-2026-113319 radar.offseq.com
• HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
• TechGeeks: Google Chrome 156 stable security notice www.techgeeks.org
• Penligent: Chrome 156 security update www.penligent.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:56.