Google Chrome: Ganzzahlüberlauf in Editing ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.79 enthält einen Ganzzahlüberlauf (CWE-190) in der Komponente Editing, die die Bearbeitung von Rich-Text übernimmt. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die manipulierte Seite öffnen, eine Anmeldung ist nicht nötig. Eine vollständige Kompromittierung würde in der Regel eine weitere Sandbox-Flucht erfordern, die in den Quellen nicht beschrieben wird.
Betroffen
- Google Chrome vor 156.0.8078.79 (Windows, macOS, Linux)
- Android- und iOS-Versionen: Unbekannt.
Behoben in
- Google Chrome 156.0.8078.79 oder neuer (Stable-Channel-Update vom 29. Oktober 2026; Windows und macOS 156.0.8078.79/.80, Linux 156.0.8078.79)
- Behobene Versionen für Android und iOS: Unbekannt.
Umgehung
- Der Hersteller veröffentlicht keinen Workaround.
- Bis zum Patch: Chrome-Version auf jedem Endpunkt prüfen, Updates über Richtlinien oder MDM durchsetzen und das Browsen auf vertrauenswürdige Seiten beschränken, auf Systemen, die noch nicht aktualisiert werden können.
Ausnutzung
- Gemäss den geprüften Quellen ist per 30. Oktober 2026 keine Ausnutzung bekannt.
- Zum Zeitpunkt der Prüfung nicht im CISA-KEV-Katalog aufgeführt.
- EPSS 0.2 % (10. Perzentil).
- Öffentlicher Exploit-Code: nicht bestätigt; die Quellen widersprechen sich.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome auf allen Desktop-Systemen jetzt auf 156.0.8078.79 oder neuer aktualisieren; als hoch priorisierte Routinepatch-Massnahme innerhalb weniger Tage behandeln.
- Die Version auf jedem Endpunkt prüfen, auch auf Systemen mit deaktiviertem Auto-Update, nicht verwalteten Geräten und Linux-Systemen ohne Google-Repository.
- Release Notes für Android und iOS separat prüfen.
- Das gleiche Release behebt weitere Schwachstellen, ein Update deckt daher alle ab.
- Vor dem Schliessen des Tickets CISA KEV und Exploit-Datenbanken erneut prüfen; bei gemeldeter Ausnutzung neu bewerten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop (29 October 2026) chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- ThreatInt CVE record CVE-2026-119268 cve.threatint.com
- VulDB CVE-2026-119268 vuldb.com
- OffSeq Radar CVE-2026-119268 radar.offseq.com
- Strix CVE-2026-119268 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.