Google Chrome: Use-after-free in Extensions ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Extensions von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet. Der Angreifer erhält dadurch Codeausführung innerhalb der Sandbox, nicht die volle Kontrolle über das System.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47 (CVE-Eintrag)
- Eine spätere MS-ISAC-Warnung nennt Chrome vor 156.0.8078.73/.74 für Windows und Mac sowie vor 156.0.8078.73 für Linux (nicht gegen die Versionshinweise von Google geprüft)
Behoben in
- Chrome 156.0.8078.47 (Stable-Channel-Update vom 20. Oktober 2026, gemäss Herstellerwarnung und Drittquellen)
- Neuere Chrome-156-Builds gemäss MS-ISAC-Warnung; es sollte der neueste stabile Build des Chrome-156-Zweigs eingesetzt werden
Umgehung
Unbekannt.
- Für diese CVE ist keine vom Hersteller dokumentierte Workaround-Massnahme bekannt. Das Aktualisieren von Chrome und der Neustart des Browsers sind die erforderliche Massnahme.
- Die Beschränkung der Extension-Installation auf eine Allowlist reduziert das Risiko als allgemeine Härtungsmassnahme.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt; die MS-ISAC-Warnung und Windows-orientierte Berichte melden keine bekannte Ausnutzung. Der Status im CISA-KEV-Katalog wurde nicht geprüft.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
- EPSS-Score 0.44 % (Momentaufnahme um den 21. Oktober 2026).
Unsere Empfehlung
- Chrome-Versionen auf allen Endgeräten inventarisieren, einschliesslich Android-Geräten und allfälliger Microsoft-Edge-Installationen, die Chromium übernehmen.
- Chrome auf den neuesten stabilen Build des Chrome-156-Zweigs aktualisieren, auf dem Desktop mindestens 156.0.8078.47, und den Browser neu starten.
- Installierte Extensions prüfen und nicht benötigte entfernen.
- Benutzer priorisieren, die unbekannte Websites besuchen oder viele Extensions verwenden.
- Den CISA-KEV-Katalog und die Warnung von Google auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB CVE-2026-113321 vuldb.com
- Ubuntu CVE tracker ubuntu.com
- Vulners CVE listing vulners.com
- MS-ISAC advisory: multiple vulnerabilities in Google Chrome www.cisecurity.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.