Google Chrome: Speicherbeschädigung in der Payments-Komponente
Zusammenfassung
Eine Speicherbeschädigung in der Payments-Komponente von Google Chrome vor 156.0.8078.73 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer, der einen Benutzer dazu bringt, eine solche Seite zu öffnen, kann beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff benötigt keine Authentifizierung, der Benutzer muss die Seite jedoch laden, zum Beispiel über einen Link, eine kompromittierte Website oder eine Werbung. Der Hersteller stuft die Chromium-Sicherheitsschwere als hoch ein, der CVSS-Basiswert beträgt 8.8.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.73
Der CVE-Eintrag nennt den betroffenen Bereich uneinheitlich; massgebend sind die Versionshinweise des Herstellers.
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (gemäss dem Stable-Channel-Update des Herstellers vom 27. Okt. 2026; die genaue Build-Version auf der Release-Seite von Google bestätigen)
Umgehung
Unbekannt. In den Quellen wurde keine Workaround gefunden; einzige Massnahme ist das Aktualisieren von Chrome.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden (Stand 26. Okt. 2026).
Unsere Empfehlung
- Chrome-Version auf allen Endgeräten prüfen und auf 156.0.8078.73 oder neuer bzw. die aktuelle Stable-Version aktualisieren.
- Neustarts des Browsers nach Updates über die Verwaltungswerkzeuge erzwingen.
- Andere Chromium-basierte Browser (z. B. Edge und Brave) bei den jeweiligen Herstellern prüfen.
- Den CISA-KEV-Katalog und die Herstellermeldung auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Tenable plugin 372646 www.tenable.com
- Ubuntu CVE tracker ubuntu.com
- OffSeq Radar threat entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.