Google Chrome: Use-after-free in WTF ermöglicht Codeausführung in der Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in WTF, der internen Basisbibliothek von Chromium, betrifft Google-Chrome-Desktop-Versionen vor 156.0.8078.73. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff benötigt keine Anmeldung, der Benutzer muss die Seite jedoch öffnen; der CVSS-Basiswert liegt bei 8.8 (hoch). Die Codeausführung ist auf die Sandbox beschränkt, eine vollständige Kompromittierung des Systems würde normalerweise zusätzlich eine Sandbox-Escape-Schwachstelle erfordern.
Betroffen
- Google-Chrome-Desktop-Versionen vor 156.0.8078.73 (gemäss CVE-Eintrag)
- Details der Herstellermeldung nicht vollständig verifiziert; siehe fixierte Versionen
Behoben in
- Linux: 156.0.8078.73 oder neuer (gemäss sekundärer CIS-Meldung)
- Windows und Mac: 156.0.8078.74 oder neuer (gemäss sekundärer CIS-Meldung; der CVE-Eintrag nennt nur 156.0.8078.73, daher mit dem Chrome-Releases-Beitrag bestätigen)
Umgehung
Unbekannt. Kein vom Hersteller empfohlener Workaround gefunden. Das Aktualisieren ist die einzige wirksame Massnahme.
Ausnutzung
- Im Chrome-Releases-Beitrag nicht als ausgenutzt gekennzeichnet (nicht gegen den aktuellen CISA-KEV-Katalog geprüft).
- Kein öffentlicher Proof of Concept bekannt.
- Intern von Google-Forschern am 2. Oktober 2026 gemeldet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.26 % (Perzentil 18).
Unsere Empfehlung
- Chrome auf allen Desktops auf 156.0.8078.74 oder neuer (Windows und Mac) bzw. 156.0.8078.73 oder neuer (Linux) aktualisieren.
- Chrome nach der Aktualisierung neu starten, da die Korrektur erst nach einem Neustart wirksam wird.
- Geräte prüfen, bei denen Updates deaktiviert oder per Richtlinie fixiert sind.
- Installierte Version über chrome://settings/help überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 575851252 issues.chromium.org
- CIS advisory: multiple vulnerabilities in Google Chrome www.cisecurity.org
- CVE record mirror CVE-2026-118356 cve.threatint.com
- OffSeq threat radar CVE-2026-118356 radar.offseq.com
- Ubuntu Updates: google-chrome-stable www.ubuntuupdates.org
- Malware.news: Chrome and Firefox updates fix serious security flaws malware.news
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.