Google Chrome: Unzureichende Eingabevalidierung in ANGLE unter macOS erlaubt Codeausführung in der Sandbox
Zusammenfassung
Google Chrome unter macOS vor 156.0.8078.73 enthält eine unzureichende Eingabevalidierung in ANGLE, der Grafik-Übersetzungsschicht des Browsers. Ein Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite öffnet; eine Anmeldung ist nicht nötig.
Betroffen
- Google Chrome unter macOS vor 156.0.8078.73
- Die CVE-Beschreibung betrifft nur macOS; Windows und Linux sind nicht Teil dieser CVE
Behoben in
- Google Chrome 156.0.8078.73 oder neuer unter macOS (Sekundärquellen nennen 156.0.8078.73 oder 156.0.8078.74; exakte Version im Stable Channel Update von Google vom 27. Oktober 2026 prüfen)
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; das Update ist die Behebung.
- Chrome übernimmt das Update erst nach einem Neustart.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf allen Mac-Endgeräten auf 156.0.8078.73 oder neuer aktualisieren.
- Chrome auf verwalteten Geräten neu starten, damit das Update wirksam wird.
- Version über chrome://settings/help überprüfen.
- Macs auf weitere Chromium-basierte Browser prüfen und diese separat aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu CVE tracker entry ubuntu.com
- VulDB analysis of CVE-2026-118329 vuldb.com
- Sandbanks Digital: Chrome security update October 2026 sandbanksdigital.com
- Chrome Geek: Chrome 156 security update www.chromegeek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.