Google Chrome: Speicherverfälschung in der Skia-Grafikbibliothek
Zusammenfassung
Chrome-Versionen vor 156.0.8078.73 enthalten eine Speicherverfälschung in Skia, der 2D-Grafikbibliothek von Chrome. Ein entfernter Angreifer kann einen Benutzer auf eine präparierte HTML-Seite locken und so beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass der Benutzer die bösartige Seite besucht; ein Ausbruch aus der Sandbox ist nicht gemeldet.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.73
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Desktop-Update vom 27. Oktober 2026, gemäss Sekundärberichten)
- Neuere Builds (zum Beispiel 156.0.8078.79 oder .80) wurden gemeldet; ob sie diese Korrektur enthalten, ist nicht verifiziert
Umgehung
Unbekannt. Es ist keine Herstellerumgehung bekannt; das Aktualisieren ist die Korrektur.
Ausnutzung
- CISA KEV: nicht gelistet
- Google hat diesen Fehler nicht als ausgenutzt markiert; es wurde kein öffentlicher Exploit-Code gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Prüfen Sie, ob alle Chrome-, Edge- und andere Chromium-basierte Browser auf 156.0.8078.73 oder neuer laufen, idealerweise auf dem neuesten stabilen Build
- Erzwingen Sie automatische Updates über Ihre Verwaltungswerkzeuge
- Prüfen Sie Chromebooks und das Chromium-Snap unter Ubuntu separat, da deren Update-Status nicht bestätigt wurde
- Priorisieren Sie nicht verwaltete oder ungepatchte Browser und prüfen Sie CISA KEV und die Google-Hinweise in den kommenden Tagen erneut
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu CVE tracker ubuntu.com
- OffSeq threat radar entry radar.offseq.com
- Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
- PiunikaWeb: Chrome 156 patch fixes 52 security issues piunikaweb.com
- PiunikaWeb: Google Chrome 156 security update piunikaweb.com
- GitHub CVE tracking issue (EPSS and KEV data) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.