Google Chrome: Use-after-free in Browser-Komponente ermöglicht Codeausführung
Zusammenfassung
Ein Use-after-free-Fehler (CWE-416) in der Browser-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet; eine Anmeldung ist nicht nötig. Der CVE-Eintrag nennt nur Windows; Sekundärquellen nennen zusätzlich Linux und Mac. Die CVE beschreibt kein Ausbrechen aus der Sandbox, daher wäre eine vollständige Kompromittierung des Systems normalerweise nur mit einer zweiten Schwachstelle möglich.
Betroffen
- Google Chrome auf Windows vor 156.0.8078.73 (gemäss CVE-Eintrag)
- Sekundärquellen (HKCERT) nennen zusätzlich Linux und Mac vor 156.0.8078.73; nicht durch die Advisory von Google bestätigt
- Chromium-basierte Produkte (z. B. Edge, Brave, Vivaldi): Unbekannt
- Ubuntu-Paket chromium-browser: nicht betroffen (installiert das Chromium-Snap)
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Stable-Update vom 27. Oktober 2026)
- Ein neuerer Build, 156.0.8078.79/.80, wird von einer Download-Seite genannt; nicht gegen die Advisory von Google geprüft
Umgehung
- Kein Workaround des Herstellers bekannt.
- Update installieren; Chrome aktualisiert sich im Hintergrund, Browser können jedoch veraltet bleiben, wenn sie nicht neu gestartet werden oder eine Erweiterung Updates blockiert.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Keine Meldungen über Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept-Exploit bis 26. Oktober 2026 gefunden.
- Ein Drittanbieter-Feed gibt an, die CVE sei nicht im CISA-KEV-Katalog; nicht direkt überprüft.
- EPSS: 0.33 % (gemäss CVE-Daten; Werte ändern sich im Zeitverlauf).
Unsere Empfehlung
- Chrome auf allen Windows-Endgeräten innerhalb weniger Tage auf 156.0.8078.73 oder neuer aktualisieren; Linux- und Mac-Systeme ebenfalls prüfen.
- Updates über Chrome-Enterprise-Richtlinien oder MDM erzwingen und die installierten Versionen überprüfen.
- Prüfen, ob andere Chromium-basierte Browser auf Ihren Systemen den Fix erhalten haben.
- Den Chrome-Releases-Blog und den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 575090745 issues.chromium.org
- Ubuntu security: CVE-2026-118330 ubuntu.com
- HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- CIS advisory: Multiple vulnerabilities in Google Chrome www.cisecurity.org
- OffSeq radar: CVE-2026-118330 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.