Google Chrome: Out-of-bounds-Schreibzugriff in GPU ermöglicht Codeausführung

Zusammenfassung

Google Chrome Versionen vor 157.0.8103.50 enthalten einen Out-of-bounds-Schreibzugriff in der GPU-Komponente, die für die Grafikdarstellung zuständig ist. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Benutzer muss die manipulierte Seite öffnen, eine Authentifizierung ist nicht nötig. Google stuft den Schweregrad als High ein; die NVD-Analyse ist noch ausstehend und für diese CVE ist keine Ausnutzung bekannt.

Betroffen

• Google Chrome vor 157.0.8103.50 (Desktop und Android)

Behoben in

• Google Chrome 157.0.8103.50 oder neuer (Herstellerveröffentlichung vom 9. November 2026)
• Windows- und Mac-Builds können in einigen Meldungen .51 aufweisen; der Hersteller-Beitrag ist massgebend
• Extended Stable: Status der Version 156.0.8078.96 nicht bestätigt

Umgehung

• Unbekannt. Bei installiertem Update ist keine Massnahme nötig; Chrome aktualisieren und den Browser neu starten.

Ausnutzung

• Für diese CVE ist laut den geprüften Quellen keine Ausnutzung bekannt.
• Eine andere Schwachstelle, CVE-2026-125350 (Use-after-free in XML), in derselben Version wird als aktiv ausgenutzt gemeldet und darf nicht mit dieser CVE verwechselt werden.
• Kein öffentlicher Proof of Concept bekannt; Google hält technische Details zurück, bis die meisten Benutzer aktualisiert haben.

Unsere Empfehlung

• Google Chrome auf allen Desktop- und Android-Endgeräten jetzt auf 157.0.8103.50 oder neuer aktualisieren.
• Die Version auf verwalteten Geräten prüfen und den Browser neu starten, da der Rollout gestaffelt erfolgt.
• Extended-Stable-Geräte sowie offline oder fixiert betriebene Geräte separat prüfen.
• Auf die separat ausgenutzte CVE-2026-125350 achten und dasselbe Update einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• CVE-2026-125348 details (threatint) cve.threatint.com
• OffSeq radar: CVE-2026-125348 radar.offseq.com
• Strix: CVE-2026-125348 www.strix.ai
• Malwarebytes: Update Chrome now to fix a flaw attackers are exploiting www.malwarebytes.com
• Android Pure: Chrome 157 zero-day Android update www.androidpure.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:12.