Google Chrome: Speicherbeschädigung in Media-Komponente ermöglicht Codeausführung in Sandbox
Zusammenfassung
Der Desktop-Browser Google Chrome enthält eine Speicherbeschädigung (CWE-119) in der Media-Komponente. Ein entfernter Angreifer kann durch eine manipulierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert eine Interaktion des Benutzers, etwa den Besuch einer bösartigen Website oder das Öffnen eines Links in einer Phishing-E-Mail. Chromium stuft die Schwachstelle als High ein, und CISA SSVC bewertet die technische Auswirkung als total.
Betroffen
- Google Chrome für Desktop vor 156.0.8078.73 (gemäss CVE-Beschreibung)
- Die Grenze des betroffenen Bereichs wird im CVE-Eintrag und bei VulDB unterschiedlich angegeben; auf NVD prüfen
Behoben in
- Google Chrome 156.0.8078.73 (Stable-Update vom 27. Okt. 2026, gemeldet für Windows, macOS und Linux)
- Eine spätere Stable-Version vom 30. Okt. 2026 (156.0.8078.79/.80) soll die Korrektur ebenfalls enthalten
- Ubuntu führt das Paket chromium-browser als nicht betroffen; der Status des Chromium-Snaps ist nicht angegeben
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine aktive Ausnutzung bekannt
- CISA SSVC: Exploitation none, Automatable no
- Kein öffentlicher Proof of Concept gefunden; der Status im CISA KEV wurde nicht direkt geprüft
Unsere Empfehlung
- Alle Chrome-Desktop-Installationen innerhalb weniger Tage auf 156.0.8078.73 oder neuer aktualisieren, möglichst auf die neueste Stable-Version
- Das Update über Chrome-Enterprise-Richtlinien oder MDM durchsetzen und die Version auf jedem Endgerät prüfen (chrome://version)
- Sicherstellen, dass auch der Chromium-Snap und andere Chromium-basierte Browser aktualisiert sind
- Den Chromium-Bug-Tracker und die Herstellerwarnung auf weitere Details überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
- Chrome Geek: Chrome 156 security update www.chromegeek.com
- PiunikaWeb: Google Chrome 156 security update piunikaweb.com
- Ubuntu CVE tracker: CVE-2026-118311 ubuntu.com
- VulDB: CVE-2026-118311 entry vuldb.com
- OffSeq Radar: CVE-2026-118311 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.