Google hat Chrome 156 mit 353 Sicherheitskorrekturen in den stabilen Desktop-Kanal gebracht. Darunter sind sechs kritische Schwachstellen in Komponenten wie CSS, Accessibility, Skia und WebRTC.
Laut der offiziellen Chrome-Versionsankündigung wird das Update für Windows, macOS und Linux „in den kommenden Tagen/Wochen“ ausgerollt. Die korrigierten Builds sind:
- Windows und macOS: 156.0.8078.47/.48
- Linux: 156.0.8078.47
Das erfasste Changelog reicht von 155.0.8059.85 bis 156.0.8078.47. Nutzer und Administratoren sollten prüfen, ob ihre Installationen einen der korrigierten Builds erreicht haben. Das gilt besonders für verwaltete Systeme, bei denen sich die gestaffelte Auslieferung von Google verzögern kann.
Speicherfehler dominieren das Update
Laut der Analyse von SecurityWeek umfassen die 353 Korrekturen sechs kritische, 61 Probleme mit hohem, 197 mit mittlerem und 89 mit niedrigem Schweregrad.
Dieselbe Analyse zählte:
- 163 Speicherkorruptionsfehler
- 125 Use-after-free-Schwachstellen
- 17 Out-of-bounds-Reads
- 36 Probleme bei der Prüfung von Eingabewerten
Diese Kategorien machen 341 der 353 Korrekturen aus. Die zitierte Aufschlüsselung ordnet die übrigen 12 nicht ein.
Speicherkorruption und Use-after-free-Fehler entstehen, wenn Software Speichergrenzen falsch behandelt oder Speicher weiterverwendet, nachdem er freigegeben wurde. Je nach betroffener Komponente und vorhandenen Schutzmechanismen können Angreifer möglicherweise Daten lesen, den Browser zum Absturz bringen oder Code ausführen. Die NVD-Beschreibungen der gravierendsten Probleme in Chrome 156 betreffen in der Regel den Fall, dass ein Opfer eine präparierte HTML-Seite öffnet.
Sechs kritische Schwachstellen betreffen zentrale Browser-Komponenten
Google stufte fünf der kritischen Probleme als Speicherkorruption und eines als Use-after-free ein. Die Angaben unter „Gemeldet“ zeigen an, wann Google den jeweiligen Bericht erhalten hat, nicht wann ein Patch veröffentlicht oder öffentlich bekanntgegeben wurde.
| Schwachstelle | Komponente und Klasse | Mögliche Auswirkung laut NVD | CVSS | Von Google aufgeführter Melder | Gemeldet |
|---|---|---|---|---|---|
| CVE-2026-113341 | Skia-Speicherkorruption | Mögliche Offenlegung von Speicherinhalten innerhalb der Sandbox über präpariertes HTML; die NVD-Beschreibung beschränkt diese Schwachstelle ausdrücklich auf Chrome auf Android vor 156.0.8078.47 | 6,5 | 03.10.2026 | |
| CVE-2026-113279 | Accessibility-Speicherkorruption | Mögliche Ausführung beliebigen Codes innerhalb der Sandbox | 8,8 | Xinyang Ge | 05.10.2026 |
| CVE-2026-113072 | CSS-Speicherkorruption | Mögliche Ausführung beliebigen Codes außerhalb der Sandbox | 9,6 | Xinyang Ge | 06.10.2026 |
| CVE-2026-113280 | Paint-Speicherkorruption | Ausführung beliebigen Codes innerhalb der Sandbox | 8,8 | Xinyang Ge | 06.10.2026 |
| CVE-2026-113271 | Accessibility-Use-after-free | Ausführung beliebigen Codes innerhalb der Sandbox | 8,8 | Xinyang Ge (Anthropic), unterstützt von Claude | 08.10.2026 |
| CVE-2026-113303 | WebRTC-Speicherkorruption | Mögliche Ausführung beliebigen Codes innerhalb der Sandbox | 8,8 | OpenAI Codex Security (kylebot) | 15.10.2026 |
CVE-2026-113072 fällt auf, weil die NVD-Beschreibung besagt, dass präpariertes HTML möglicherweise zur Ausführung von Code außerhalb der Chrome-Sandbox führen könnte. Die CVSS-3.1-Bewertung liegt bei 9,6; vorausgesetzt werden Netzwerkzugriff, geringe Angriffskomplexität und eine Interaktion des Nutzers.
Die unterschiedlichen CVSS-Werte und Chromium-Schweregrade spiegeln getrennte Bewertungssysteme wider. So stuft Google CVE-2026-113341 als kritisch ein, während der NVD-Vektor einen Wert von 6,5 ergibt, weil die beschriebene Auswirkung auf das Lesen von Speicher innerhalb der Sandbox beschränkt ist.
Eine Schwachstelle in Site Isolation erhält die höchste bekanntgegebene Prämie
Unter den Fehlern mit hohem Schweregrad erhielt CVE-2026-113101 die höchste bekanntgegebene Prämie: 10.000 US-Dollar an Quyen Son von VinFast.
Diese Use-after-free-Schwachstelle betrifft Site Isolation in Chrome-Versionen vor 156.0.8078.47. Laut ihrer NVD-Beschreibung könnte ein entfernter Angreifer über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. Der CVSS-Wert liegt bei 8,8, und die Schwachstelle ist als CWE-416 eingestuft.
Ein weiteres Problem mit hohem Schweregrad, CVE-2026-113097, ist ein Use-after-free-Fehler in FileSystem. Auch sein NVD-Eintrag beschreibt eine mögliche Codeausführung innerhalb der Sandbox über präpariertes HTML und vergibt einen CVSS-Wert von 8,8.
Google gab an, insgesamt 50.000 US-Dollar für 24 Schwachstellen gezahlt zu haben. Die Prämien für weitere 44 Probleme wurden nicht bekanntgegeben. Laut der Zählung von SecurityWeek erhielten 285 Schwachstellen keine Prämie, darunter 266, die Google zugeschrieben werden, sowie weitere, die Xinyang Ge oder OpenAI Codex Security zugeordnet werden.
Googles Nennungen kennzeichnen einige Funde als von Anthropics Claude unterstützt oder als über OpenAI Codex Security eingereicht. Diese Zuordnungen beschreiben, wie Google die Melder aufgeführt hat; sie belegen für sich genommen nicht, wie viel von der Entdeckung oder Analyse autonom durch ein KI-System erfolgte.
Exploit-Details bleiben während der Auslieferung eingeschränkt
Google erklärte, Fehlerlinks und technische Details könnten so lange nicht verfügbar bleiben, bis die meisten Nutzer das Update installiert haben. Die Einschränkungen können länger andauern, wenn eine Schwachstelle eine Drittanbieter-Bibliothek betrifft, die auch von anderen Projekten genutzt wird, die ihre eigenen Korrekturen noch nicht veröffentlicht haben.
SecurityWeek berichtete, dass die Ankündigung von Google keine der 353 Schwachstellen als aktiv ausgenutzt erwähnte. Daraus sollte jedoch nicht abgeleitet werden, dass eine Ausnutzung ausgeschlossen wurde.
Für Desktop-Nutzer und Unternehmensadministratoren besteht der konkrete Schutzschritt darin, die Installation von Chrome 156.0.8078.47/.48 unter Windows und macOS bzw. 156.0.8078.47 unter Linux zu bestätigen. Ältere Builds liegen weiterhin im betroffenen Bereich, den diese Sicherheitsaktualisierung schließt.
