Google Chrome: Unzureichende Eingabevalidierung in Compositing
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Compositing-Komponente von Google Chrome vor 156.0.8078.73 kann von einem entfernten Angreifer über eine manipulierte HTML-Seite ausgenutzt werden. Bei erfolgreicher Ausnutzung könnte beliebiger Code ausserhalb der Chrome-Sandbox ausgeführt werden. Der Angreifer benötigt, dass der Benutzer die schädliche Seite öffnet, zum Beispiel über eine kompromittierte Website oder einen Phishing-Link. Chromium stuft das Problem als High ein, der CVSS-Basiswert beträgt 9.6 (Critical).
Betroffen
- Google Chrome vor 156.0.8078.73 (Desktop, gemäss CVE-Beschreibung)
Behoben in
- Google Chrome 156.0.8078.73 oder neuer
- Windows und macOS: 156.0.8078.73/.74
- Linux: 156.0.8078.73
- Debian: DSA 6592-1 für Chromium (29. Okt. 2026)
Umgehung
Unbekannt.
Ausnutzung
- Bis 27. Okt. 2026 wurde keine Ausnutzung in freier Wildbahn festgestellt.
- Ein Drittanbieter-Tracker führt die CVE nicht im CISA-KEV-Katalog (nicht direkt geprüft).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
Unsere Empfehlung
- Alle Google-Chrome-Installationen auf 156.0.8078.73 oder neuer aktualisieren und die Version auf jedem Gerät prüfen.
- Zuerst verwaltete Geräte und Endgeräte mit blockierten oder verzögerten Updates kontrollieren.
- Die gesamte Chrome-Version vom 27. Okt. 2026 einspielen, da sie weitere Sicherheitskorrekturen enthält.
- Mitarbeitende darauf hinweisen, keine Links aus unbekannten oder unzuverlässigen Quellen zu öffnen.
- Vor dem Schliessen des Vorgangs die Herstellerankündigung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 574030524 issues.chromium.org
- OffSeq Radar: CVE-2026-118332 radar.offseq.com
- Malware.news: Chrome and Firefox updates fix serious security flaws malware.news
- Ubuntu Updates: google-chrome-stable www.ubuntuupdates.org
- Vulners: RH:CVE-2026-118332 vulners.com
- VulDB: CVE-2026-118332 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.