Microsoft Edge (Chromium-based): Remote Code Execution durch Type Confusion
Zusammenfassung
Ein Type-Confusion-Fehler (CWE-843) in Microsoft Edge (Chromium-based) erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Der Angreifer muss dafür eine speziell präparierte Webseite bereitstellen und einen Benutzer dazu bringen, sie mit einer betroffenen Edge-Version aufzurufen. Eine erfolgreiche Ausnutzung könnte die Codeausführung im Renderer-Prozess des Browsers ermöglichen, und MSRC gibt nicht an, ob zusätzlich ein Sandbox-Ausbruch nötig ist.
Betroffen
- Microsoft Edge (Chromium-based) ab 1.0.0.0 vor 154.0.4258.48 (gemäss offiziellem CVE-Eintrag)
Behoben in
- Microsoft Edge 154.0.4258.48 oder neuer (Build laut Drittquellen; vor Verwendung in Patch-Regeln gegen das MSRC-Advisory prüfen)
Umgehung
Unbekannt.
Ausnutzung
- Gemäss OffSeq nicht als aktiv ausgenutzt bekannt (zum Zeitpunkt der Recherche nicht im CISA KEV)
- Kein öffentlicher Exploit-Code gefunden (ThehackerWire)
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Microsoft Edge auf allen Windows-Endgeräten auf den korrigierten Build aktualisieren, über Auto-Update, Intune, WSUS oder ein anderes Update-Management.
- Die installierte Edge-Version auf allen Geräten prüfen, auch auf selten neu gestarteten Notebooks, und den korrigierten Build zuerst im MSRC-Advisory bestätigen.
- Mitarbeitende bis zur Installation des Updates darauf hinweisen, keine unbekannten Links oder nicht vertrauenswürdigen Webseiten zu öffnen.
- Endgeräte auf ungewöhnliche Browser-Abstürze oder unerwartete Codeausführung überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-85898 msrc.microsoft.com
- OffSeq Radar: CVE-2026-85898 radar.offseq.com
- ThehackerWire: CVE-2026-85898 www.thehackerwire.com
- VulDB: CVE-2026-85898 vuldb.com
- Strix AI: CVE-2026-85898 www.strix.ai
- ThreatInt CVE record: CVE-2026-85898 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.