Google Chrome: Use-after-free in Animation ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Animation des Google Chrome Desktop-Browsers erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Opfer eine präparierte HTML-Seite öffnet, etwa auf einer schädlichen oder kompromittierten Website. Chromium stuft die Schwachstelle als High ein, und CISA SSVC gibt an, dass keine Ausnutzung bekannt ist und die Schwachstelle nicht automatisierbar ist.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.73
- Laut Sekundärquellen: Windows- und Mac-Versionen vor 156.0.8078.73/.74, Linux-Versionen vor 156.0.8078.73
- Andere Chromium-basierte Browser und Linux-Distributionsversionen: Unbekannt.
Behoben in
- Google Chrome 156.0.8078.73 (Linux) und 156.0.8078.73/.74 (Windows und Mac), Stable-Kanal-Update vom 27. Oktober 2026
- Diese Versionsnummern vor einer Verwendung mit dem Google-Advisory abgleichen.
Umgehung
- Keine Workaround dokumentiert. Das Update installieren.
Ausnutzung
- Gemäss OffSeq und GitHub-Alert-Trackern nicht im CISA KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept oder Exploit-Code gefunden.
- Keine Honeypot-Angriffe registriert.
- EPSS: 0.32 % gemäss Angabe; ein anderer Tracker nennt 0.22 %.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten jetzt auf die korrigierte Version aktualisieren; Priorität hat das Patchen innerhalb weniger Tage.
- Die laufende Chrome-Version auf verwalteten und nicht verwalteten Arbeitsplätzen prüfen und, wo möglich, das automatische Update erzwingen.
- Andere Chromium-basierte Browser (z. B. Edge, Brave, Vivaldi) und Ubuntu-Chromium-Snaps prüfen und aktualisieren, da deren Patch-Status unbekannt ist.
- Auf Updates von Hersteller und CISA zur Ausnutzung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 567645136 issues.chromium.org
- VulDB: CVE-2026-118339 vuldb.com
- OffSeq Radar: CVE-2026-118339 radar.offseq.com
- CIS Advisory: Multiple vulnerabilities in Google Chrome www.cisecurity.org
- Ubuntu Security: CVE-2026-118339 ubuntu.com
- Malware.news: Chrome and Firefox updates fix serious security flaws malware.news
- CVE Brief archive 2026/10/29 cvebrief.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.