Google Chrome: Use-after-free in der SVG-Verarbeitung
Zusammenfassung
Ein Use-after-free-Fehler in der SVG-Verarbeitung von Google Chrome für Desktop erlaubt einem Angreifer aus der Ferne, möglicherweise beliebigen Code ausserhalb der Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; ein Konto oder vorgängiger Zugriff ist nicht nötig. Die offizielle Beschreibung spricht von einem Ausbruch aus der Sandbox, der üblicherweise mit einem separaten Fehler im Renderer kombiniert wird; der Chromium-Fehlerbericht sollte dies bestätigen.
Betroffen
- Google Chrome für Desktop vor 156.0.8078.73
- Windows und Mac: Builds vor 156.0.8078.74 laut Sekundärquellen (in der Herstellermeldung prüfen)
- Linux: Builds vor 156.0.8078.73
Behoben in
- Google Chrome 156.0.8078.73 (Linux) sowie 156.0.8078.73/.74 (Windows und Mac), Stable-Kanal-Update vom 27. Okt. 2026
- Ubuntu-Paket google-chrome-stable 156.0.8078.73-1
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Update installieren und den Browser neu starten, da eine laufende Sitzung die alte Version weiterverwendet.
Ausnutzung
- Keine bekannte Ausnutzung in den geprüften Quellen.
- Zum Zeitpunkt der Quellen nicht im CISA-KEV-Katalog; kein öffentlicher Exploit gefunden (Stand 26. Okt. 2026).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome auf allen Desktops (Windows, Mac und Linux) auf die korrigierte Version aktualisieren und den Browser neu starten.
- Browser-Updates auf Firmengeräten über eine verwaltete Richtlinie erzwingen.
- Inventar auf veraltete Chrome-Versionen prüfen und die installierte Build-Nummer verifizieren.
- Nach Meldungen zu Ausnutzung Ausschau halten und den Status in NVD und CISA KEV erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Red Hat CVE entry via Vulners vulners.com
- Ubuntu security notice CVE-2026-118308 ubuntu.com
- Ubuntu package google-chrome-stable www.ubuntuupdates.org
- OffSeq threat radar entry radar.offseq.com
- CVE entry via threatint cve.threatint.com
- CIS advisory on Google Chrome vulnerabilities www.cisecurity.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.