Google Chrome: Use after free in FileSystem ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 156.0.8078.73 enthalten eine Use-after-free-Schwachstelle in der FileSystem-API. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite lädt; die Quellen sagen nicht, ob zusätzlich ein Sandbox-Escape nötig ist.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.73
- Genaue betroffene Builds pro Plattform: Unbekannt; die Quellen widersprechen sich bei den Build-Nummern.
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Windows und Mac: 156.0.8078.73/.74 laut Sekundärquellen; Linux: 156.0.8078.73)
- Die neueste stabile Version auf jeder Plattform installieren, da neuere Builds auch verwandte FileSystem-Schwachstellen beheben.
Umgehung
- Unbekannt. Die Quellen dokumentieren keinen Workaround; das Aktualisieren des Browsers ist die Behebung.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; laut den geprüften Quellen ist kein Eintrag im CISA-KEV-Katalog verzeichnet.
- Kein öffentlicher Proof-of-Concept gefunden; dies beweist nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS: 0.28% (Perzentil 21).
Unsere Empfehlung
- Google Chrome auf allen Systemen jetzt auf die neueste stabile Version aktualisieren und einen Browser-Neustart erzwingen.
- Die Chrome-Version auf allen Endgeräten prüfen, auch bei Benutzerprofilen, die nicht automatisch aktualisiert werden.
- Das gleiche Update auf anderen Chromium-basierten Browsern einspielen, sobald deren Hersteller die Korrektur veröffentlichen.
- Hersteller-Updates beobachten und den NVD-Score von 8.8 als Grundlage für die Priorisierung verwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug tracker issues.chromium.org
- VulDB CVE-2026-118357 vuldb.com
- OffSeq Radar CVE-2026-118357 radar.offseq.com
- Strix CVE-2026-118357 www.strix.ai
- Ubuntu Updates: google-chrome-stable www.ubuntuupdates.org
- TheHackerWire CVE-2026-118357 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.