Google Chrome: Use-after-free in XML-Komponente

Zusammenfassung

Eine Use-after-free-Schwachstelle in der XML-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass das Opfer eine präparierte HTML-Seite öffnet oder vom Angreifer kontrollierte XML- oder XSLT-Inhalte lädt. Google bestätigt, dass ein Exploit in freier Wildbahn existiert, während die Quellen bezüglich des Eintrags im CISA KEV und des NVD-Status uneinheitlich sind.

Betroffen

• Google Chrome Desktop-Versionen vor 157.0.8103.50 (Windows, macOS, Linux)
• Der offizielle CVE-Eintrag nennt den betroffenen Bereich mit 157.0.8103.50 bis < 157.0.8103.50, was inkonsistent ist. Die Beschreibung nennt vor 157.0.8103.50.

Behoben in

• Chrome Stable 157.0.8103.50 (Linux) und 157.0.8103.50/.51 (Windows, macOS)
• Chrome Extended Stable 156.0.8078.96 (Windows, macOS): von Drittquellen gemeldet, nicht gegen Googles Extended-Stable-Meldung bestätigt
• Chrome für Android 157.0.8103.50: gemeldet, nicht verifiziert
• ChromeOS: Unbekannt.

Umgehung

Keine Workaround-Massnahme des Herstellers bekannt. Laut Herstellerhinweis sind über das Update hinaus keine Massnahmen vorgesehen.

• Den Browser nach dem Update neu starten, da ein ausstehendes Update erst nach dem Neustart des Browsers angewendet wird.

Ausnutzung

• Google bestätigt, dass für CVE-2026-125350 ein Exploit in freier Wildbahn existiert. Details zu den Angriffen wurden nicht veröffentlicht.
• Sandbox-Ausbruch: nicht bestätigt.
• Öffentlicher Exploit-Code: in öffentlichen Verzeichnissen keiner gefunden (negatives Suchergebnis, kein Beweis, dass keiner existiert).
• Status im CISA KEV: widersprüchliche Meldungen, im Katalog überprüfen.
• CISA-SSVC-Bewertung: Ausnutzung aktiv, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Chrome sofort auf 157.0.8103.50 oder neuer aktualisieren und den Browser neu starten.
• Die Version über Menü > Hilfe > Über Google Chrome prüfen und mit Chrome-Enterprise-Richtlinien oder einer Endpoint-Management-Lösung alle Geräte kontrollieren.
• Ungepatchte Systeme als hohe Priorität behandeln und auf verdächtige Browser-Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (4 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  ashrafzaryouh/CVE-2026-125350 · Frostmoon39206/CVE-2026-125350-PoC · TJT001/CVE-2026-125350-PoC · al4n4n/CVE-2026-125350

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• BleepingComputer: Google patches eighth Chrome zero-day exploited in attacks this year www.bleepingcomputer.com
• SecurityWeek: Chrome update patches exploited XML zero-day www.securityweek.com
• Ostorlab: Chrome XSLT use-after-free CVE-2026-125350 blog.ostorlab.co
• OffSeq Radar: CVE-2026-125350 radar.offseq.com
• Malwarebytes: Update Chrome now to fix a flaw attackers are exploiting www.malwarebytes.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:12.