Google Chrome: Unzureichende Eingabevalidierung in WebRTC
Zusammenfassung
Eine unzureichende Eingabevalidierung in der WebRTC-Komponente von Google Chrome erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass ein Opfer eine präparierte HTML-Seite öffnet; eine Anmeldung ist nicht nötig, eine Benutzerinteraktion dagegen schon. Die Codeausführung beschränkt sich auf die Sandbox; für diese CVE ist kein Sandbox-Escape öffentlich bekannt.
Betroffen
- Google Chrome vor 156.0.8078.73
- Auf Chromium basierende Browser sind nicht abgedeckt, sofern sie keinen eigenen Fix haben
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Windows und Mac: 156.0.8078.73/.74; Linux: 156.0.8078.73)
- Behoben im Stable-Channel-Update vom 27. Oktober 2026; neuere Stable-Builds sind vorzuziehen
- Microsoft Edge: Fix ausstehend (Unbekannt)
- ChromeOS: noch kein passendes Stable-Update veröffentlicht (Unbekannt)
Umgehung
- Keine bekannt. Das Software-Update ist die Behebung.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
- Nicht im CISA-KEV-Katalog gelistet
- Kein öffentlicher Proof of Concept gefunden
- EPSS: niedrig (0,4 % laut Eingabedaten; die Werte variieren zwischen den Quellen)
Unsere Empfehlung
- Chrome-Version auf allen Endgeräten prüfen und auf mindestens 156.0.8078.73 (Windows/Mac .73 oder .74) aktualisieren, vorzugsweise auf den neuesten Stable-Build
- Update über die Verwaltungskonsole erzwingen und den Rollout-Status überwachen
- Microsoft Edge und ChromeOS-Geräte auf eigene Sicherheitsupdates prüfen
- Diesen Patch priorisieren, da Chrome auf allen Endgeräten läuft und der Angriff keine Anmeldung benötigt
- Chromium-Fehlerseite und NVD-Eintrag erneut prüfen, sobald Details öffentlich sind
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 570927027 issues.chromium.org
- CIS advisory for Google Chrome vulnerabilities www.cisecurity.org
- CVE-2026-118328 at threatint cve.threatint.com
- CVE-2026-118328 at Strix www.strix.ai
- OffSeq Radar: CVE-2026-118328 radar.offseq.com
- Chrome 156 security update overview (ChromeGeek) www.chromegeek.com
- Chrome security update October 2026 (Sandbanks Digital) sandbanksdigital.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.