Google Chrome: Use-after-free in GPU ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Use-after-Free-Schwachstelle in der GPU-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; eine Anmeldung ist nicht erforderlich. Die Quellen beschreiben keine Sandbox-Flucht, daher ist die Auswirkung über die Sandbox hinaus unbekannt. Chromium stuft das Problem als High ein, der CVSS-3.1-Basiswert beträgt 8.8.

Betroffen

• Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
• Der offizielle CVE-Eintrag nennt den Bereich 156.0.8078.47 bis < 156.0.8078.47, was der Beschreibung widerspricht; auf NVD prüfen
• Microsoft Edge: gemäss einer HKCERT-Meldung Versionen vor 156.0.4314.42 (nicht verifiziert; MSRC prüfen)

Behoben in

• Google Chrome 156.0.8078.47 oder neuer
• Spätere Chrome-156-Stable-Builds (laut Sekundärquellen 156.0.8078.79/.80) enthalten die Korrektur ebenfalls
• Microsoft Edge 156.0.4314.42 oder neuer (HKCERT, nicht verifiziert)

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers bekannt; das Update ist anzuwenden.

Ausnutzung

• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt
• Es wurde kein öffentlicher Proof of Concept gefunden
• Der Status im CISA-KEV-Katalog wurde nicht geprüft
• EPSS 0.00443 (Red-Hat-Eintrag), eine geringe prognostizierte Ausnutzungswahrscheinlichkeit

Unsere Empfehlung

• Google Chrome und Chromium-basierten Edge auf den neuesten Stable-Build aktualisieren und die installierte Version auf allen Endgeräten prüfen
• Den Browser nach dem Update neu starten, da Chrome Updates erst beim Neustart anwendet
• Automatische Browser-Updates aktiviert lassen
• Den CISA-KEV-Katalog und die Herstellerwarnung auf Änderungen prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 563357593 issues.chromium.org
• Vulners: CVE-2026-113324 vulners.com
• Ubuntu security: CVE-2026-113324 ubuntu.com
• HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
• Vulners Red Hat CVE: RH:CVE-2026-113324 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:00.