CVE-2026-11645
Chromium: CVE-2026-11645 Out of bounds memory access in V8
Beschreibung
Ein aus dem Bereich heraus lesender und schreibender Zugriff in V8 von Google Chrome vor Version 149.0.7827.103 ermöglichte es einem Fernangreifer, über eine manipulierte HTML-Seite beliebigen Code innerhalb einer Sandbox auszuführen. (Chromium-Sicherheitsstufe: Hoch)
Behebung & Mitigation
Warum sofort handeln?
Priorisierung
Die Schwachstelle erzielt CVSS 8.8 (AV:N/AC:L/PR:N/UI:R) und liegt im 81. EPSS-Perzentil — das bedeutet, dass Exploit-Code mit hoher Wahrscheinlichkeit bereits verfügbar oder in Entwicklung ist, auch wenn CISA keinen Ransomware-Einsatz bestätigt hat. Der Angriffsvektor erfordert lediglich, dass ein Nutzer eine präparierte HTML-Seite öffnet (Spear-Phishing-Link, kompromittiertes Werbebanner, Drive-by-Download), was die Eintrittswahrscheinlichkeit in Umgebungen mit intensiver Browser-Nutzung erheblich erhöht. Für NIS2-pflichtige Organisationen mit Mitarbeitern im Home-Office oder ohne zentralen Web-Proxy ist das Risiko besonders hoch. Da die Ausführung innerhalb der Chromium-Sandbox stattfindet, ist eine vollständige Systemkompromittierung nur bei zusätzlichem Sandbox-Escape möglich — dennoch reicht Code-Ausführung im Sandbox-Kontext für Datenexfiltration aus dem Browser (Cookies, gespeicherte Passwörter, Session-Tokens) aus.
Runbook · Schritt 1
Sofort-Response (0-24 h)
- Patch sofort einspielen: Google Chrome auf Version 149.0.7827.103 oder höher aktualisieren. Update über
chrome://settings/helperzwingen oder per Gruppenrichtlinie/MDM ausrollen. Microsoft Edge und Opera auf die jeweiligen Chromium-149-basierten Releases aktualisieren (Versionen im Vendor-Advisory des jeweiligen Herstellers prüfen). - Chromium-basierte Browser inventarisieren: Alle Endpunkte mit Chrome, Edge, Opera, Brave oder anderen Chromium-Derivaten identifizieren (SCCM/Intune-Softwareinventar, EDR-Asset-Query). Ungepatchte Instanzen priorisiert behandeln.
- Privilegierte Arbeitsplätze isolieren: Auf Systemen mit erhöhten Rechten (PAW, Admin-Workstations, KRITIS-Leitstandsrechner) den Browser-Zugriff auf externe URLs bis zur Patch-Bestätigung sperren oder den Browser deaktivieren.
- Browser-Sandbox-Integrität prüfen: Sicherstellen, dass Chrome-Sandbox-Flags nicht per Policy deaktiviert sind (
--no-sandboxin Shortcuts oder Gruppenrichtlinien aufspüren und entfernen). - Nutzer sensibilisieren: Kurzhinweis an alle Endanwender: keine unbekannten Links öffnen, bis der Patch ausgerollt ist — insbesondere in E-Mails und Messaging-Diensten.
Runbook · Schritt 2
Mitigation-Layer
- Netzwerksegmentierung / Web-Proxy: Ausgehende HTTP/HTTPS-Verbindungen (Port 80/443) von KRITIS-Systemen und OT-nahen Netzsegmenten über einen Proxy mit TLS-Inspection und URL-Kategorisierung leiten; unbekannte/neue Domains blocken.
- WAF/IPS-Regel: Suricata/Snort-Regel auf HTTP-Responses mit anomal großen JavaScript-Payloads oder bekannten V8-Exploit-Shellcode-Mustern aktivieren. Referenz: Emerging Threats Kategorie
browser-ie/browser-chromeauf aktuelle Signaturen prüfen. - Application Whitelisting / AppLocker: Ausführung von Prozessen, die als Kind-Prozess von
chrome.exeodermsedge.exespawnen (z. B.cmd.exe,powershell.exe,wscript.exe), per AppLocker oder WDAC blockieren. - Least Privilege / Mandatory Integrity Control: Browser-Prozesse dürfen keine Schreibrechte auf System- oder Programmverzeichnisse haben. UAC auf höchste Stufe setzen; Standard-Nutzerkonten ohne lokale Admin-Rechte betreiben.
- JavaScript-Einschränkung (Notfall): Wenn Patch-Ausroll nicht innerhalb von 24 h möglich ist, JavaScript in Unternehmens-Browserprofilen auf vertrauenswürdige Domains beschränken (Chrome Enterprise Policy
DefaultJavaScriptSetting = 2, Ausnahmen viaJavaScriptAllowedForUrls).
Runbook · Schritt 3
Detection-Regeln
- EDR-Prozessbaum: Alarm bei
chrome.exeodermsedge.exeals Elternprozess voncmd.exe,powershell.exe,mshta.exe,wscript.exeodercscript.exe. Sigma-Shape:ParentImage|endswith: '\chrome.exe'+Image|endswith: '\cmd.exe'. - Sysmon EID 1 / EID 10: Unerwartete Prozesserstellung oder Cross-Process-Access aus dem Renderer-Prozess (
chrome.exe --type=renderer) auf lsass oder andere privilegierte Prozesse. - Windows Event ID 4688: Neue Prozesse mit ungewöhnlichen Kommandozeilen-Argumenten, die aus dem Browser-Prozessbaum stammen — insbesondere Base64-kodierte PowerShell-Befehle.
- Netzwerk-Telemetrie (Zeek/Suricata): HTTP-Response-Körper mit
Content-Type: text/htmlund eingebettetem Shellcode-Muster (NOP-Sleds,%u-Unicode-Escapes in großer Dichte). KQL-Snippet (Defender for Endpoint):DeviceNetworkEvents | where InitiatingProcessFileName in~ ("chrome.exe","msedge.exe") | where RemotePort in (80,443) | where RemoteUrl !in (allowlist). - Auditd (Linux/ChromeOS):
execve-Syscalls aus dem Chrome-Sandbox-Prozess (chrome --type=renderer) auf unerwartete Binaries überwachen;auditd-Regel:-a always,exit -F arch=b64 -S execve -F ppid=<renderer-pid-range>.
Metriken
Re-Analyse & Statuswechsel
Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.
- CVE Translated2026-07-23 08:10 UTC· nvd@nist.gov
- Translation: Title: Chrome de Google, Description: Lectura y escritura fuera de límites en V8 en Google Chrome anterior a 149.0.7827.103 permitió a un atacante remoto ejecutar código arbitrario dentro de una sandbox a través de una página HTML manipulada. (Gravedad de seguridad de Chromium: Alta)
- New CVE Received2026-06-09 00:16 UTC· chrome-cve-admin@google.com
- Description: Out of bounds read and write in V8 in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High)
- Reference: https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_0153744567.html
- Reference: https://issues.chromium.org/issues/506689381
Betroffene Produkte
Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.
google
chrome149.0.7827.103
Öffentliche Exploit-Referenzen
Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.