Google Chrome: Speicherkorruption in der Media-Komponente
Zusammenfassung
Eine Speicherkorruption in der Media-Komponente von Google Chrome vor 156.0.8078.73 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein Angreifer, der einen Benutzer auf eine solche Seite lockt, kann unter Umständen beliebigen Code innerhalb der Browser-Sandbox ausführen. Die Ausnutzung erfordert, dass das Opfer die Seite öffnet, und es sind keine Berechtigungen nötig. Chromium stuft die Lücke als High ein.
Betroffen
- Google Chrome Desktop vor 156.0.8078.73
Behoben in
- Google Chrome Desktop 156.0.8078.73 oder neuer (Windows, Mac und Linux, gemäss dem Stable-Channel-Update des Herstellers vom 27. Okt. 2026)
- Neuere stabile Versionen wurden gemeldet; die neueste stabile Version installieren
- Andere Chromium-basierte Browser (z. B. Microsoft Edge, Brave, Vivaldi): Advisory des jeweiligen Herstellers prüfen, nicht verifiziert
- Ubuntu-Paket chromium-browser: als nicht betroffen aufgeführt, da es die Chromium-Snap installiert; Status des Snap-Updates unbekannt
Umgehung
Keine bekannte Workaround-Massnahme des Herstellers. Das Einspielen des Updates ist die Behebung.
Ausnutzung
- Bis zum Recherchezeitpunkt keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Nicht in CISA KEV aufgeführt
- Kein öffentlicher Proof of Concept gefunden; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no
- EPSS ist tief (0.27 % gemäss CVE-Daten, 0.22 % gemäss einem GitHub-Alert)
Unsere Empfehlung
- Google Chrome auf allen Desktops umgehend auf die neueste stabile Version aktualisieren, aufgrund des Risikos beim Surfen im Web
- Prüfen, ob die Updates installiert sind und Chrome neu gestartet wurde, da Updates erst nach einem Neustart wirksam werden
- Prüfen, ob andere eingesetzte Chromium-basierte Browser eigene Korrekturen erhalten haben
- Auf Berichte über Ausnutzung achten und die Priorität bei deren Auftreten erhöhen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 572878518 issues.chromium.org
- Ubuntu security notice CVE-2026-118327 ubuntu.com
- Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
- Tenable Nessus plugin 372646 www.tenable.com
- OffSeq threat radar CVE-2026-118327 radar.offseq.com
- GitHub vulnerability alert astruzocyber/CVE issue 3395 github.com
- VulDB CVE-2026-118327 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.