Microsoft Edge: Remote Code Execution durch Double Free
Zusammenfassung
Eine Double-Free-Schwachstelle (CWE-415) in Microsoft Edge (Chromium-based) erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Ein Angreifer benötigt dafür, dass ein Benutzer eine manipulierte Seite besucht oder schädliche Inhalte öffnet, da eine Benutzerinteraktion erforderlich ist. Der CVSS-Wert beträgt 8.8 (hoch), und CISA SSVC bewertet die technische Auswirkung als total.
Betroffen
- Microsoft Edge (Chromium-based), Versionen ab 1.0.0.0 vor 154.0.4258.37 laut dem offiziellen CVE-Eintrag.
- Einige Drittanbieter-Seiten nennen als obere Grenze 154.0.4258.48. Diese Abweichung ist ungeklärt; die Produkttabelle von MSRC ist zu prüfen.
Behoben in
- Korrigierte Version: 154.0.4258.48 laut Drittanbieter-Seiten (OffSeq, Strix). Auf der MSRC-Seite nicht bestätigt; vor dem Ausrollen prüfen.
- Ein separater Tenable-Verweis nennt Microsoft Edge (Chromium) 155.0.4283.62 als mögliches neueres Ziel. Dies ist unbestätigt und keine verifizierte Korrektur.
Umgehung
- Unbekannt. In den geprüften Quellen ist keine Workaround-Massnahme dokumentiert; die dokumentierte Massnahme ist das Aktualisieren.
Ausnutzung
- Keine bekannte aktive Ausnutzung. Die CVE ist nicht im Known-Exploited-Vulnerabilities-Katalog der CISA aufgeführt.
- Es ist kein öffentlicher Proof of Concept bestätigt. Die Exploit-Reife laut Microsoft ist E:U (nicht erprobt).
- Der EPSS-Wert von 0.77 % konnte nicht verifiziert werden.
Unsere Empfehlung
- Microsoft Edge auf allen Windows-Endgeräten auf die im MSRC-Advisory aufgeführte korrigierte Version aktualisieren (derzeit 154.0.4258.48 oder neuer).
- Die automatische Aktualisierung von Edge aktiviert lassen und die installierte Version mit Intune, WSUS oder einem Software-Inventar prüfen.
- Bis zur Korrektur Benutzer anweisen, auf unbekannte Links und Websites zu verzichten.
- Das Update priorisieren, da Edge auf den meisten Windows-Arbeitsstationen der Standardbrowser ist; dringlicher als eine aus dem Internet erreichbare Serverschwachstelle ist es jedoch nicht.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC advisory CVE-2026-83831 msrc.microsoft.com
- CVE record mirror (threatint) cve.threatint.com
- OffSeq (patch version) radar.offseq.com
- Strix (affected range) www.strix.ai
- TheHackerWire (exploit and KEV status) www.thehackerwire.com
- AhnLab ASEC (October 2026 updates) asec.ahnlab.com
- VulDB (conflicting classification) vuldb.com
- Vulners/PT (Tenable plugin reference) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.