Google Chrome: Schreibzugriff ausserhalb des Speichers in V8-Engine ermoeglicht Codeausfuehrung
Frist für US-Bundesbehörden: 23.09.2026
Zusammenfassung
Ein Schreibzugriff ausserhalb des Speicherbereichs in der JavaScript- und WebAssembly-Engine V8 von Google Chrome vor 153.0.8010.36 kann durch eine manipulierte HTML-Seite ausgeloest werden. Ein entfernter Angreifer kann dies nutzen, um beliebigen Code innerhalb der Sandbox des Browsers auszufuehren. Das Opfer muss die manipulierte Seite aufrufen, und Google bestaetigt, dass ein Exploit in freier Wildbahn existiert.
Betroffen
- Google Chrome vor 153.0.8010.36
- Andere Chromium-basierte Browser: Unbekannt
Behoben in
- Google Chrome 153.0.8010.36 (Linux)
- Google Chrome 153.0.8010.36/.37 (Windows und macOS, laut Sekundärquellen)
- Extended-Stable-Kanal: Unbekannt
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert. Das Update ist die einzige Gegenmassnahme.
Ausnutzung
- Exploit in freier Wildbahn: von Google bestaetigt.
- CISA KEV: am 9. Sep 2026 aufgenommen, Frist 23. Sep 2026.
- Öffentlicher Proof-of-Concept: widersprüchliche Angaben, nicht bestaetigt.
- Zuordnung zu TA412 (APT31) stammt von einer einzelnen Drittquelle und ist von Google nicht bestaetigt.
- Gemeldet von Jihyeon Jeong vom Compsec Lab der Seoul National University.
Unsere Empfehlung
- Google Chrome umgehend auf 153.0.8010.36 oder neuer aktualisieren und neuere Builds installieren, sobald verfuegbar.
- Installierte Version auf allen verwalteten Geräten prüfen, auch im Extended-Stable-Kanal.
- Browser nach dem Update neu starten.
- Andere Chromium-basierte Browser auf Herstellerkorrekturen prüfen.
- Auf unerwartete Browserabstürze oder verdächtige Aktivitäten achten und den Fall als prioritär behandeln.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
SneakyNachos/CVE-2026-87491-and-CVE-2026-85046-the-bagel-fell-off-the-counter
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
- The Hacker News: Chrome V8 zero-day exploited in the wild thehackernews.com
- SOCPrime: CVE-2026-87491 Chrome V8 zero-day socprime.com
- Qualys ThreatPROTECT: Google Chrome zero-day exploited in the wild threatprotect.qualys.com
- CUHK IT Services: Google Chrome V8 out-of-bounds write alert www.itsc.cuhk.edu.hk
- Tenable: CVE-2026-87491 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.