Google Chrome: Use-after-free in der Modularization-Komponente
Zusammenfassung
Google Chrome vor 156.0.8078.73 enthält einen Use-after-free-Fehler in der Modularization-Komponente (CVSS 8.8, CWE-416). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Für den Angriff sind keine Benutzerrechte nötig, das Opfer muss die Seite aber öffnen, weshalb jede Chrome-Installation mit Webzugriff betroffen ist.
Betroffen
- Google Chrome vor 156.0.8078.73 (Desktop, gemäss NVD-/CNA-Eintrag)
- Ubuntu-Paket chromium-browser: nicht betroffen (Wrapper um das Chromium-Snap)
Behoben in
- Google Chrome 156.0.8078.73 oder neuer, veröffentlicht am 27. Oktober 2026 (gemäss CVE-Eintrag und Sekundärberichten)
- Die neueste stabile Version installieren. Eine Drittseite nennt 156.0.8078.79 für eine andere Chrome-CVE; ob diese Version auch diese CVE abdeckt, ist unbekannt.
Umgehung
Unbekannt. Es ist keine Herstellerumgehung dokumentiert. Das Aktualisieren ist die Behebung.
Ausnutzung
- Bis zu den neuesten gefundenen Daten gibt es keine Hinweise auf Ausnutzung in freier Wildbahn.
- Laut dem neuesten gefundenen Tracker-Eintrag nicht im CISA-KEV-Katalog gelistet.
- Bis zum Datenstand wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf 156.0.8078.73 oder neuer aktualisieren, idealerweise auf die neueste stabile Version.
- Die installierte Version auf jedem Gerät prüfen (chrome://settings/help) und in verwalteten Flotten nach blockierten oder verzögerten Updates suchen.
- Automatische Updates sicherstellen und den Browser nach dem Update neu starten.
- Mitarbeitende priorisieren, die unbekannte Links besuchen oder E-Mail-Anhänge öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu security tracker CVE-2026-118341 ubuntu.com
- OffSeq Radar threat entry radar.offseq.com
- GitHub CVE tracker entry (KEV status) github.com
- Malware.news: Chrome and Firefox updates fix serious security flaws malware.news
- VulDB CVE-2026-118341 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.