Google Chrome: Unzureichende Eingabevalidierung in SVG
Zusammenfassung
Google Chrome vor 156.0.8078.73 enthält eine Schwachstelle bei der Eingabevalidierung in der SVG-Verarbeitung. Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, mit der sich möglicherweise beliebiger Code innerhalb der Sandbox des Browsers ausführen lässt. Der Angriff erfordert, dass das Opfer die schädliche Seite öffnet, und Chromium stuft das Problem als High, nicht als Critical, ein.
Betroffen
- Google Chrome vor 156.0.8078.73 (gemäss CNA-Beschreibung)
- Der Affected-Bereich im CVE-Eintrag ist widersprüchlich und lautet "156.0.8078.73 bis < 156.0.8078.73"; hier wird die Beschreibung verwendet
- Chromium-basierte Browser wie Microsoft Edge: abhängig von deren eigenen Releases, nicht bestätigt
- Ubuntu-Pakete chromium-browser: als nicht betroffen gelistet, da sie einen Snap installieren
Behoben in
- Chrome 156.0.8078.73 (Linux), 156.0.8078.73 oder .74 (Windows und Mac), gemäss dem Chrome-Stable-Update vom 27. Oktober 2026, wie von Sekundärquellen berichtet
- Ein späterer Chrome-156-Build (laut Sekundärbericht 156.0.8078.79 oder .80) existiert, ist im Chrome-Releases-Blog noch nicht verifiziert
- Chrome für Android: 156.0.8078.73 gemäss Bericht
- ChromeOS: kein bestätigter Fix-Build; Unbekannt.
- Microsoft Edge: Korrektur in Vorbereitung, kein Release bestätigt
Umgehung
Keine gefunden. Das Aktualisieren des Browsers ist die Korrektur.
Ausnutzung
- Gemäss OffSeq nicht als aktiv ausgenutzt bekannt (Stand 26. Oktober 2026)
- In den geprüften Quellen nicht im CISA-KEV-Katalog gelistet; Katalog direkt prüfen
- Kein öffentlicher Proof-of-Concept oder Exploit-Code indexiert
- EPSS 0.26 % (sehr niedrig)
Unsere Empfehlung
- Die Chrome-Version auf allen Endgeräten prüfen, einschliesslich Edge und anderer Chromium-basierter Anwendungen, und mindestens auf 156.0.8078.73 aktualisieren, vorzugsweise auf den neuesten 156-Build
- Automatische Browser-Updates per Richtlinie erzwingen
- ChromeOS-Geräte sowie Chrome-basierte Kioske oder eingebettete Anwendungen prüfen, die Updates verzögert erhalten können, und Updates einspielen, sobald Google sie veröffentlicht
- Chrome-Releases-Blog und CISA-KEV-Katalog auf Änderungen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OffSeq Radar: CVE-2026-118315 radar.offseq.com
- VulDB: CVE-2026-118315 vuldb.com
- Ubuntu Security: CVE-2026-118315 ubuntu.com
- ChromeGeek: Chrome 156 security update www.chromegeek.com
- Sandbanks Digital: Chrome security update October 2026 sandbanksdigital.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.