Google Chrome: Use-after-free in SVG ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle (CWE-416) in der SVG-Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass der Benutzer die Seite öffnet; der CVSS-Score beträgt 8.8 (hoch).
Betroffen
- Google Chrome Desktop vor 156.0.8078.47 (gemäss Herstellerangaben Linux und Android)
- Windows und macOS: Versionen vor 156.0.8078.47 oder 156.0.8078.48
- Verwandte Chromium-basierte Produkte wie Microsoft Edge vor 156.0.4314.42 können betroffen sein
Behoben in
- Google Chrome 156.0.8078.47 (Linux, Android)
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 (Windows, macOS)
- Microsoft Edge 156.0.4314.42 oder neuer
Umgehung
Keine Workaround-Massnahme dokumentiert. Auf die korrigierte Version aktualisieren und den Browser neu starten.
Ausnutzung
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn
- Kein öffentlicher Proof-of-Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Prüfen, ob alle Chrome-Desktopinstallationen auf 156.0.8078.47 oder neuer sind (Windows und macOS: 156.0.8078.48, sofern angegeben)
- Prüfen, ob Microsoft Edge und andere Chromium-basierte Browser auf 156.0.4314.42 oder neuer sind
- Browser auf allen Endgeräten neu starten, damit die Korrektur wirksam wird
- Linux-Distributionspakete und Snaps gegen deren eigene Sicherheitsmeldungen prüfen
- Dieses Update bei Büroendgeräten priorisieren, da Webbrowsing ein plausibler Angriffsweg ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 572862424 issues.chromium.org
- VulnCheck/Vulners CVE record CVE-2026-113339 vulners.com
- Ubuntu CVE tracker CVE-2026-113339 ubuntu.com
- Microsoft Edge multiple vulnerabilities (HKCERT) www.hkcert.org
- Chrome 156 security update (CyberSecurityNews) cybersecuritynews.com
- VulDB entry 424669 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.