Google Chrome: Type Confusion in der V8-JavaScript-Engine erlaubt Codeausführung in Sandbox

Zusammenfassung

Eine Type Confusion in der V8-JavaScript-Engine von Google Chrome vor 157.0.8103.50 erlaubt einem entfernten Angreifer, innerhalb der Browser-Sandbox beliebigen Code auszuführen. Das Opfer muss eine präparierte HTML-Seite laden, zum Beispiel über einen Phishing-Link oder eine kompromittierte Website; eine Authentifizierung ist nicht nötig. Die Codeausführung ist auf die Sandbox beschränkt; für eine vollständige Kompromittierung des Betriebssystems ist in der Regel eine weitere Schwachstelle nötig.

Betroffen

• Google Chrome vor 157.0.8103.50 (Windows, macOS, Linux)

Behoben in

• Google Chrome 157.0.8103.50 oder neuer unter Linux
• Google Chrome 157.0.8103.51 (Windows, macOS; Hersteller hat Builds 157.0.8103.50/.51 ausgeliefert)

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers identifiziert; die Behebung erfolgt durch das Update.
• Den Browser nach dem Update neu starten, da die Korrektur erst nach einem Neustart wirksam wird.

Ausnutzung

• Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt bestätigt.
• Kein öffentlicher Proof-of-Concept gefunden.
• In den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
• Googles Versionshinweise nennen eine andere Schwachstelle (CVE-2026-125350) als ausgenutzt.

Unsere Empfehlung

• Chrome auf allen Windows-, macOS- und Linux-Endgeräten auf die korrigierte Version aktualisieren und die installierte Version prüfen.
• Sicherstellen, dass Benutzer den Browser neu starten, damit das Update wirksam wird.
• Verwaltete Browser kontrollieren und Benutzer auf Vorsicht bei unbekannten Links und Anhängen hinweisen.
• Meldungen zu weiterer Ausnutzung beobachten, da diese Schwachstelle erst am 10. November 2026 veröffentlicht wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop (9 Nov 2026) chromereleases.googleblog.com
• Chromium issue tracker entry (referenced by CVE record) issues.chromium.org
• CVE record mirror CVE-2026-125344 cve.threatint.com
• Cryptika: Google Chrome 0-day vulnerability report www.cryptika.com
• OffSeq Radar: CVE-2026-125344 threat entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:11.