Google Chrome: Speicherbeschädigung in der V8-JavaScript-Engine ermöglicht Codeausführung
Zusammenfassung
Eine Speicherbeschädigung in der V8-JavaScript-Engine von Google Chrome ermöglicht einem entfernten Angreifer, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite besucht, zum Beispiel über einen Phishing-Link oder eine kompromittierte Website. Die Codeausführung innerhalb der Sandbox ist ernst zu nehmen, für eine vollständige Kompromittierung ist jedoch in der Regel zusätzlich ein Sandbox-Escape nötig, und für diese CVE ist keine solche Kette bekannt.
Betroffen
- Google Chrome Desktop vor 156.0.8078.73 (gemäss CVE-Beschreibung)
- Chromium-basierte Browser wie Microsoft Edge, bis der Hersteller die passende Korrektur veröffentlicht
- Chromebooks (ChromeOS): Patchstand in den Recherchequellen nicht verifiziert
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (gemäss Recherchenotizen; die Google-Meldung wurde nicht direkt geprüft)
- Ein neueres Chrome-156-Build (156.0.8078.79/.80) wird von einer Sekundärquelle genannt; ob diese CVE abgedeckt ist, ist nicht verifiziert
- Microsoft Edge: Korrektur laut Recherchenotizen noch ausstehend; auf das passende Build prüfen
Umgehung
- Es ist kein Workaround dokumentiert. Das Einspielen des Updates ist die Massnahme.
- Chrome muss nach dem Update neu gestartet werden (Neu starten), sonst wirkt die Korrektur nicht.
Ausnutzung
- Gemäss den geprüften Quellen keine bestätigte Ausnutzung in freier Wildbahn.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt; die Aufnahme sollte erneut geprüft werden.
- Kein öffentlicher Proof-of-Concept-Exploit gefunden.
- Andere V8-Schwachstellen von Chrome wurden 2026 ausgenutzt, daher ist das Grundrisiko für V8-Fehler erhöht.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle Chrome-Installationen (Desktop, Android, Chromebooks) auf 156.0.8078.73 oder neuer aktualisieren, vorzugsweise auf das neueste 156-Build.
- Microsoft Edge separat prüfen und das Update von Microsoft nach Veröffentlichung installieren.
- Sicherstellen, dass der Browser nach dem Update neu gestartet wurde.
- Den CISA-KEV-Katalog und die Hinweise von Google zu Exploits in freier Wildbahn beobachten.
- Das Patchen priorisieren, da Browser ein häufiger Angriffspunkt sind und das Update kostenlos und schnell installierbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- GitHub CVE tracker entry (KEV and EPSS data) github.com
- PiunikaWeb: Google Chrome 156 security update piunikaweb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.