Google und Mozilla veröffentlichten am 27. Oktober Chrome 156 und Firefox 159 und schließen damit mehr als 200 Sicherheitslücken. Das Chrome-Update enthält vier kritische Schwachstellen, während die Firefox-Korrekturen unter anderem Sandbox-Ausbrüche und weitere Schwächen betreffen, wie SecurityWeek berichtet. Keiner der beiden Hersteller erwähnte laut dem Portal eine Ausnutzung in freier Wildbahn.
Googles Veröffentlichungsmitteilung führt 52 Sicherheitskorrekturen auf: vier als kritisch eingestuft, 46 als hoch und zwei als mittel. Die kritischen Schwachstellen sind eine Speicherbeschädigung in FileSystem, erfasst als CVE-2026-118306, eine unzureichende Eingabevalidierung in FileAPI und Skia, erfasst als CVE-2026-118331 und CVE-2026-118348, sowie eine Use-after-free-Schwachstelle in Layout, CVE-2026-118344.
Laut SecurityWeek könnte CVE-2026-118306 über eine präparierte HTML-Seite die Ausführung beliebigen Codes außerhalb der Chrome-Sandbox ermöglichen. Das beschreibt einen potenziellen Ausnutzungspfad und keinen beobachteten Angriff.
Die gepatchten Chrome-Builds werden als Versionen 156.0.8078.73 und 156.0.8078.74 für Windows und macOS sowie als Version 156.0.8078.73 für Linux ausgeliefert, berichtet SecurityWeek. Google zufolge kann der Zugriff auf einige Fehlerdetails eingeschränkt bleiben, bis die meisten Nutzer die Korrekturen erhalten haben, oder solange andere Projekte, die eine betroffene Drittanbieter-Bibliothek verwenden, noch nicht gepatcht sind.
Firefox 159 behebt 167 Sicherheitsfehler, darunter 108, die als hoch eingestuft wurden, laut der Darstellung von SecurityWeek zur Ankündigung von Mozilla. Die meisten Korrekturen betreffen Use-after-free-Schwachstellen, bei denen Software auf Speicher zugreift, nachdem dieser freigegeben wurde. Das Update adressiert außerdem Sandbox-Ausbrüche, Rechteerweiterungen, fehlerhafte Grenzprüfungen und Umgehungen der Same-Origin-Policy – wobei Letztere Einschränkungen betreffen, die Inhalte unterschiedlicher Webursprünge voneinander trennen.
Mozilla veröffentlichte am 27. Oktober außerdem Firefox ESR 153.6 und 115.44 sowie Thunderbird 159 und 153.6. SecurityWeek zufolge schließen diese Versionen viele dieselben Schwachstellen. Die Gesamtzahl für Firefox 159 sollte deshalb nicht als Anzahl der Korrekturen für jede dieser separaten Versionen verstanden werden.
