Google Chrome: Use after free in Frames ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 156.0.8078.79 enthalten einen Use-after-free-Fehler in der Komponente Frames. Ein entfernter Angreifer kann über eine manipulierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Für den Angriff muss ein Benutzer die bösartige Seite besuchen, etwa über einen Link in einer Phishing-E-Mail.
Betroffen
- Google Chrome vor 156.0.8078.79 (Stable- und Extended-Stable-Kanal)
- Chromium-basierte Browser, die den Fehler übernehmen: herstellerspezifische Versionen unbekannt
Behoben in
- Google Chrome 156.0.8078.79 oder neuer (Windows, macOS, Linux; genaue Builds je Plattform variieren, siehe Chrome Releases)
- Chromium-basierte Browser: Advisory des jeweiligen Herstellers prüfen, fixierte Versionen unbekannt
Umgehung
Unbekannt. Es wurde kein Workaround gefunden; das Aktualisieren ist die empfohlene Korrektur.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA KEV gelistet.
- Kein öffentlicher Proof-of-Concept-Exploit gefunden.
- EPSS: 0,2 % (Perzentil 10).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Sicherstellen, dass alle Chrome-Installationen auf 156.0.8078.79 oder neuer sind, einschliesslich Chrome-Enterprise- und MSI-Verteilungen.
- Browser nach dem Update neu starten, damit die Korrektur wirksam wird.
- Andere Chromium-basierte Browser und eingebettete Chromium-Anwendungen auf eigene Korrekturen prüfen.
- CISA KEV und den Chrome-Releases-Blog auf Änderungen des Ausnutzungsstatus überwachen.
- Innerhalb des üblichen Browser-Update-Fensters patchen; das Risiko ist hoch, da Chrome weit verbreitet ist und keine Anmeldung nötig ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 573264074 issues.chromium.org
- VulDB CVE-2026-119260 vuldb.com
- OffSeq Radar: CVE-2026-119260 radar.offseq.com
- CVE threatint record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.