Google Chrome V8: Unzureichende Eingabevalidierung erlaubt Codeausführung ausserhalb der Sandbox
Zusammenfassung
Eine Schwachstelle in der JavaScript-Engine V8 von Google Chrome, verursacht durch unzureichende Eingabevalidierung, ist mit CVSS 9.6 als kritisch eingestuft. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Eine Benutzerinteraktion ist erforderlich, daher betrifft das Risiko vor allem Arbeitsplatzsysteme, auf denen Benutzer unbekannte Links öffnen.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.73
- Sekundäre Quellen nennen Windows, Mac und Linux
- Der Affected-Bereich im CVE-Eintrag ist inkonsistent ("156.0.8078.73 bis < 156.0.8078.73")
Behoben in
- Google Chrome 156.0.8078.73 (Windows, Mac, Linux, gemäss sekundären Quellen)
- Die Herstellerseite zur Version wurde nicht direkt überprüft
- Behobene Versionen für Android und iOS: Unbekannt.
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Update installieren; der Browser muss anschliessend neu gestartet werden.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog gelistet.
- Kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Eine andere V8-Schwachstelle mit ähnlicher Beschreibung wurde früher im Jahr 2026 ausgenutzt (separate CVE).
Unsere Empfehlung
- Google Chrome auf allen Desktop-Systemen auf 156.0.8078.73 oder neuer aktualisieren und die installierte Build-Nummer prüfen.
- Das Update über eine verwaltete Verteilung durchsetzen (Chrome Enterprise oder Google-Update-Richtlinien).
- Systeme priorisieren, auf denen Benutzer lokale Administratorrechte haben.
- Prüfen, ob die Browser nach dem Update neu gestartet wurden.
- Ungewöhnliche Browseraktivitäten überwachen und CVSS-Wert und EPSS-Wert vor einer Meldung erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug tracker issues.chromium.org
- CIS advisory: multiple vulnerabilities in Google Chrome www.cisecurity.org
- Ubuntu CVE tracker CVE-2026-118316 ubuntu.com
- VulDB entry 427604 vuldb.com
- Google Chrome package tracker (Ubuntu Updates) www.ubuntuupdates.org
- SecurityOnline: Chrome security update 156.0.8078.73 securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.