CVE-2026-113072: Speicherfehler in Chromium, Edge betroffen

Sind unsere Browser auf dem aktuellen Stand?

Genau diese Frage stellt sich jetzt, denn Chromium hat einen Speicherfehler (CVE-2026-113072). Die Kennung wurde von Chrome vergeben. Die Beschreibung im Datensatz ist knapp: Microsoft Edge auf Chromium-Basis übernimmt Chromium, und Chromium behebt die Lücke. Weitere Einzelheiten nennt die Beschreibung nicht. Die Hinweise des Herstellers finden sich in den Chrome-Release-Notes. Die von uns gelesene Seite enthielt zu dieser CVE keine Angaben, deshalb stützen wir uns auf den Datensatz.

Wichtig: In den Daten stehen bisher nur Reparaturen für Debian-Pakete. Das heißt nicht, dass nur Debian betroffen ist. Betroffen sind Browser, die auf dem Chromium-Code aufbauen und noch nicht aktualisiert wurden.

So prüfen Sie, ob Sie betroffen sind

Öffnen Sie den Browser und rufen Sie die Versionsanzeige auf:

• Google Chrome: Menü (drei Punkte), Hilfe, "Über Google Chrome". Der Browser sucht dort selbst nach Updates.
• Microsoft Edge: Menü, Einstellungen, "Über Microsoft Edge". Auch hier startet die Update-Suche.
• Chromium unter Linux: Geben Sie im Terminal chromium --version ein, oder fragen Sie die Paketverwaltung nach der installierten Version.

Auf Debian nennt der Datensatz als reparierten Stand 156.0.8078.47-1~deb13u1 (Debian 13) und 156.0.8078.47-1. Ist Ihre Version älter, fehlt die Korrektur. Für Chrome und Edge unter Windows oder macOS nennt der Datensatz keine eigene Versionsnummer. Dort gilt: Lassen Sie den Browser auf die neueste Version aktualisieren und neu starten. Das Update wirkt erst nach dem Neustart.

Denken Sie auch an Rechner, die selten neu gestartet werden, und an Geräte, die Sie nicht zentral verwalten.

Wo Chromium im Mittelstand läuft

Chromium-Browser sind in fast jedem Betrieb im Einsatz. Edge ist unter Windows vorinstalliert, Chrome wird oft zusätzlich genutzt. Dazu kommen Programme, die einen Chromium-Kern mitbringen, etwa manche Oberflächen von Fachanwendungen. Ob solche Programme betroffen sind, entscheidet deren Hersteller. Fragen Sie im Zweifel dort nach. Auf Linux-Arbeitsplätzen und Terminalservern kann Chromium als Paket installiert sein, dann kommt das Update über die Paketverwaltung.

Wie die Schwachstelle funktioniert

Die Lücke ist als CWE-119 eingeordnet. Dahinter steckt ein Fehler im Umgang mit dem Arbeitsspeicher: Ein Programm liest oder schreibt dann außerhalb des Bereichs, der dafür vorgesehen ist. Das kann dazu führen, dass Daten verfälscht werden oder fremder Code läuft. Der Datensatz beschreibt den genauen Auslöser nicht, deshalb können wir dazu nichts Näheres sagen.

Laut Vektor läuft ein Angriff über das Netzwerk, ohne Anmeldung, und ein Nutzer muss mitwirken. Welche Handlung des Nutzers dafür nötig ist, nennt der Datensatz nicht.

Einordnung der Kennzahlen

Der CVSS-Wert liegt bei 9,6 nach CVSS 3.1 und gilt als kritisch. CVSS bewertet, wie schwer eine Lücke technisch wiegt. Andere Werte nennt der Datensatz nicht. Der EPSS-Wert schätzt die Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen ausgenutzt wird. Er beträgt hier 0,49 Prozent, das Perzentil liegt bei 41. Das heißt: Etwa 41 Prozent der bewerteten Lücken haben einen niedrigeren oder gleichen Wert. Im Katalog der CISA für aktiv ausgenutzte Lücken taucht die CVE nicht auf. Eine Ausnutzung ist also nicht belegt.

Die Schritte für Ihren Betrieb finden Sie oben unter "Mögliche Lösung". Bei der Bestandsaufnahme der Browser oder beim Update kann ByePast unterstützen.