Microsoft Edge (Chromium-based): Rechteausweitung durch Integer-Überlauf
Zusammenfassung
Microsoft Edge (Chromium-based) enthält einen Integer-Überlauf oder Wraparound (CWE-190), der es einem nicht autorisierten Angreifer erlaubt, über ein Netzwerk seine Rechte zu erweitern. Laut dem CNA-Eintrag erfordert der CVSS-Vektor eine Benutzerinteraktion (UI:R), weshalb die Ausnutzung voraussichtlich erfordert, dass ein Benutzer eine bösartige oder kompromittierte Webseite besucht. Der CVSS-Wert beträgt 8.8 (CNA), VulDB bewertet die Schwachstelle jedoch mit 6.3 (Mittel), und öffentlich verfügbare technische Details sind begrenzt.
Betroffen
- Microsoft Edge (Chromium-based) ab 1.0.0.0 bis vor 154.0.4258.62 (CNA-Eintrag)
- VulDB gibt die obere Grenze mit 154.0.4258.37 an; die Grenze muss auf der MSRC-Seite bestätigt werden
Behoben in
- Build 154.0.4258.62 oder neuer (in den MSRC-Sicherheitshinweisen aufgeführt; die Advisory-Seite konnte nicht direkt überprüft werden)
- Neuere stabile Builds sind verfügbar; auf die neueste stabile Version aktualisieren
Umgehung
- Ist ein gepatchter Build installiert, ist kein Workaround nötig.
- Unbekannt: ob eine Konfigurationseinstellung die Exponierung verringert.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt (nicht direkt überprüft).
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Microsoft Edge auf allen verwalteten Windows-Geräten auf Build 154.0.4258.62 oder neuer aktualisieren.
- Fixierte Edge-Versionen oder blockierte Updates prüfen und entfernen.
- Die installierte Version auf allen Endgeräten bestätigen, zum Beispiel über die Edge-Versionsangabe unter edge://settings/help.
- Nach Möglichkeit das Surfen auf nicht vertrauenswürdigen Seiten einschränken und NVD sowie das MSRC-Advisory auf Aktualisierungen überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-88077 msrc.microsoft.com
- MSRC Security Guidance msrc.microsoft.com
- MSRC Update Deployments msrc.microsoft.com
- Microsoft Edge stable channel release notes archive learn.microsoft.com
- VulDB entry 428530 vuldb.com
- Strix CVE record CVE-2026-88077 www.strix.ai
- CVE Threat Intelligence record CVE-2026-88077 cve.threatint.com
- OffSeq threat radar entry CVE-2026-88077 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.