Google Chrome: Use-after-free in FileSystem ermöglicht Codeausführung
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente FileSystem von Google Chrome vor 156.0.8078.73 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer auf eine präparierte HTML-Seite locken; eine Authentifizierung ist nicht erforderlich, eine Benutzerinteraktion jedoch schon. Chromium stuft das Problem als High ein (CVSS 8.8). Die Sandbox begrenzt die Auswirkungen; für eine vollständige Kompromittierung des Geräts wäre eine zusätzliche Sandbox-Flucht nötig, die in den verfügbaren Quellen nicht beschrieben wird.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.73
- Sekundäre Berichte nennen als betroffene Versionen für Windows und macOS vor 156.0.8078.73/.74.
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Linux)
- Google Chrome 156.0.8078.73/.74 oder neuer (Windows und macOS, gemäss sekundären Berichten; in der Herstellerempfehlung prüfen)
Umgehung
Unbekannt. Es ist keine Zwischenmassnahme dokumentiert; das Update ist zu installieren.
- Automatische Updates aktiviert lassen und den Browser nach einem Update neu starten.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (gemäss CIS-Advisory).
- Nicht in CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- In den geprüften Indizes wurde kein öffentlicher Exploit-Code gefunden.
Unsere Empfehlung
- Alle Chrome-Installationen innerhalb weniger Tage auf 156.0.8078.73 oder neuer aktualisieren (unter Windows und macOS den Build .74 verwenden).
- Automatische Updates über die Verwaltungswerkzeuge erzwingen und die installierten Versionen auf jedem Gerät überprüfen.
- Prüfen, ob andere auf Chromium basierende Browser im Einsatz (z. B. Edge oder Brave) eigene Korrekturen veröffentlicht haben.
- Arbeitsplätze mit Webzugriff priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- CIS advisory: multiple vulnerabilities in Google Chrome www.cisecurity.org
- Malware.news: Chrome and Firefox updates fix serious security flaws malware.news
- OffSeq threat radar: CVE-2026-118347 radar.offseq.com
- Ubuntu Updates: google-chrome-stable www.ubuntuupdates.org
- CVE record mirror (vuldb) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.