Google Chrome: Ungenügende Eingabevalidierung in Skia erlaubt Codeausführung
Zusammenfassung
Google Chrome vor 156.0.8078.79 enthält eine ungenügende Eingabevalidierung in der Grafikbibliothek Skia. Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, mit der möglicherweise beliebiger Code ausserhalb der Browser-Sandbox ausgeführt werden kann. Der Angriff erfordert, dass ein Benutzer die präparierte Seite besucht; eine Authentifizierung ist nicht nötig.
Betroffen
- Google Chrome vor 156.0.8078.79 (Desktop, Windows, macOS, Linux)
- Andere Chromium-basierte Browser: Unbekannt.
Behoben in
- Google Chrome 156.0.8078.79 (Linux)
- Google Chrome 156.0.8078.79 oder .80 (Windows, macOS), veröffentlicht am 29. Oktober 2026
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert; die Behebung ist ein Browser-Update.
Ausnutzung
- Bis 30. Oktober 2026 wurde gemäss verfügbaren Quellen keine Ausnutzung gemeldet.
- Bis 29. Oktober 2026 ist kein öffentlicher Proof-of-Concept indexiert.
- Nicht in CISA KEV aufgeführt.
- Die Angaben sind provisorisch und stammen von Quellen einen Tag nach der Veröffentlichung.
Unsere Empfehlung
- Google Chrome und alle Chromium-basierten Browser sofort auf die behobenen Versionen aktualisieren.
- Browser nach dem Update neu starten, damit die neue Version wirksam wird.
- Updates über Managed Policy oder MDM verteilen und nicht verwaltete Geräte prüfen.
- Sicherstellen, dass Linux-Systeme den neuen Repository-Build erhalten, da veraltete Paketindizes ältere Versionen anzeigen können.
- Herstellerhinweise auf weitere Angaben zur Ausnutzung beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 574213633 issues.chromium.org
- OffSeq Radar: CVE-2026-119261 radar.offseq.com
- Strix: CVE-2026-119261 www.strix.ai
- TechSpot: Google Chrome download page www.techspot.com
- Ubuntu Updates: google-chrome-stable www.ubuntuupdates.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.