Google Chrome: Use-after-free in PDFium ermöglicht Codeausführung in Sandbox
Zusammenfassung
Ein Use-after-free-Speicherfehler in PDFium, der PDF-Rendering-Engine von Google Chrome vor 156.0.8078.73, kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer kann damit möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite besucht; eine Authentifizierung ist nicht nötig.
Betroffen
- Google Chrome vor 156.0.8078.73
- Chromium-basierte Browser, die den betroffenen PDFium-Code enthalten (Status je nach Hersteller unterschiedlich)
- Debian-Chromium-Pakete: Fixversion unbekannt
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Stable-Update vom 27. Okt. 2026; neuere Stable-Builds sind verfügbar)
- Debian: Fixversion des Pakets unbekannt
- Ubuntu-Paket chromium-browser: nicht betroffen (Chromium-Snap wird verwendet)
Umgehung
- Keine bekannte Herstellerumgehung. Das Aktualisieren von Chrome ist die Behebung.
- Bis zur Aktualisierung Surfen auf vertrauenswürdige Seiten beschränken und PDFs sowie Links aus unbekannten Quellen nicht öffnen.
Ausnutzung
- Kein Nachweis einer Ausnutzung in freier Wildbahn bis 26. Okt. 2026.
- Kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle Chrome-Installationen auf 156.0.8078.73 oder neuer aktualisieren, idealerweise auf den neuesten Stable-Build, und den Browser neu starten.
- Automatische oder verwaltete Updates für Chrome und andere Chromium-basierte Browser erzwingen.
- Chromebooks sowie Linux- oder Debian-Chromium-Pakete separat prüfen.
- Das vollständige Chrome-Update vom Oktober 2026 installieren, da weitere Sicherheitslücken behoben werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 574061024 issues.chromium.org
- Ubuntu security: CVE-2026-118345 ubuntu.com
- Red Hat CVE record via Vulners vulners.com
- Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
- ChromeGeek: Chrome 156 security update with 52 fixes www.chromegeek.com
- OffSeq Radar: CVE-2026-118345 radar.offseq.com
- ThreatInt CVE record CVE-2026-118345 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.