Google Chrome: Unzureichende Eingabevalidierung in ReadingList
Zusammenfassung
Unzureichende Eingabevalidierung in der Komponente ReadingList von Google Chrome erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Dazu muss ein Benutzer eine präparierte HTML-Seite aufrufen, etwa eine manipulierte oder kompromittierte Website oder einen entsprechenden Link. Chromium stuft die Schwachstelle als High ein (CVSS 8.8); die Codeausführung ist auf die Sandbox beschränkt und ergibt für sich allein keine volle Kontrolle über das System.
Betroffen
- Google Chrome vor 156.0.8078.73
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Stable-Update vom 27. Oktober 2026)
Umgehung
Unbekannt. Der Hersteller beschreibt keine Workaround-Massnahme; ein Update ist die empfohlene Behebung.
Ausnutzung
- Gemäss den Quellen ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, vollständige technische Auswirkung.
Unsere Empfehlung
- Die Chrome-Version auf allen Endgeräten prüfen (chrome://version) und mindestens 156.0.8078.73 verlangen.
- Bei verwalteten Geräten sicherstellen, dass automatische Updates aktiviert sind und nicht durch Richtlinien blockiert werden.
- Browser nach dem Update neu starten, da manche Updates erst nach einem Neustart wirksam werden.
- Prüfen, ob andere Chromium-basierte Browser auf den Endgeräten ebenfalls aktualisiert sind.
- Das Chromium-Issue und die Herstellermeldung auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- CIS Advisory: Multiple vulnerabilities in Google Chrome www.cisecurity.org
- OffSeq Radar: CVE-2026-118343 radar.offseq.com
- BetaNews: Chrome and Firefox security patches betanews.com
- GitHub CVE tracker entry github.com
- CVE Threat Intelligence: CVE-2026-118343 cve.threatint.com
- MacUpdate: Google Chrome google-chrome.macupdate.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.