ChromeOS-M-156-Update schließt 12 kritische Browser-Schwachstellen und gefährliche Kernel-Fehler

Am 20. Oktober 2026 hat Google das Update ChromeOS M-156 (Version 16836.19.0, Browser 156.0.8078.42) für den Stable Channel veröffentlicht, wie aus dem offiziellen Sicherheitshinweis hervorgeht. Das Update schließt 12 kritische Schwachstellen in der Browser-Komponente von Chrome, Dutzende weitere Schwachstellen mit dem Schweregrad High sowie gefährliche Kernel-Defekte in den Mali-Treibern und in der Komponente arc-keymaster, die zu einer Beschädigung des Kernel-Speichers und zu einem Ausbruch aus der Gastsandbox führen können. Nutzern von ChromeOS und ChromeOS Flex wird empfohlen, das Update umgehend zu installieren.

Kritische Browser-Schwachstellen

Das Update schließt 12 Schwachstellen, die Google mit dem Schweregrad Critical eingestuft hat. Die überwiegende Mehrheit gehört zur Klasse use after free (Verwendung bereits freigegebenen Speichers) – einem der gefährlichsten Fehlertypen, der es einem Angreifer ermöglicht, die Kontrolle über den Ausführungsfluss des Programms zu übernehmen. Die kritischen Schwachstellen betreffen eine breite Palette von Browser-Komponenten:

• CVE-2026-106347 — use after free in Track
• CVE-2026-106358 — use after free in Navigation
• CVE-2026-110151 — use after free in Media
• CVE-2026-110148 — use after free in SVG
• CVE-2026-110161 — use after free in Network
• CVE-2026-110136 — use after free in PDF
• CVE-2026-110149 — use after free in Browser
• CVE-2026-110922 — use after free in Prerender
• CVE-2026-113271 — use after free in Accessibility
• CVE-2026-113303 — Speicherkorruption in WebRTC
• CVE-2026-113280 — Speicherkorruption in Paint
• CVE-2026-113072 — Speicherkorruption in CSS

Nach Angaben der NVD kann ein entfernter Angreifer bei CVE-2026-110151 und CVE-2026-110148 über eine speziell gestaltete HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. Die CISA-ADP-Bewertung nach CVSS 3.1 beträgt für beide Schwachstellen 8.8 (High) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Es ist zu beachten, dass Google diese Schwachstellen nach der eigenen Chromium-Schweregradskala als Critical klassifiziert, während CISA-ADP die Einstufung High vergibt – dies sind unterschiedliche Bewertungssysteme, die nicht vermischt werden sollten.

Neben den kritischen Schwachstellen umfasst das Update mehr als 50 Schwachstellen mit dem Schweregrad High, darunter use after free in V8, WebRTC, Media, PDF, DOM, Passwords, Canvas sowie type confusion in V8 (CVE-2026-106240, CVE-2026-110140), Speicherkorruption in V8, SVG, Core, Dawn, ServiceWorker sowie Autorisierungsfehler in FileSystem und Updater.

Schwachstellen auf Kernel-Ebene und in Drittkomponenten

Besonders hervorzuheben sind die Korrekturen, die über den Browser-Code hinausgehen und Systemkomponenten von ChromeOS betreffen:

• arc-keymaster — ein Fehler mit undefiniertem Verhalten (fall-off-end UB) in der Funktion CrosKeyFactory::GetOperationFactory ermöglicht es, aus der Gastsandbox heraus einen beliebigen indirekten guest-to-host-Aufruf auszuführen. Schweregrad: High.
• mali_kbase — ein double free der Struktur dma_buf_attachment im Fehlerbehandlungspfad von kbase_mem_from_umm führt zu Speicherkorruption im Kernel. Schweregrad: High.
• Mali (mt8196) — use after free bei der Seitenmigration in kbase_vmap_phy_pages ermöglicht es einem nicht privilegierten Benutzer, den Kernel-Speicher auf Geräten mit dem Chip mt8196 zu beschädigen. Schweregrad: High.
• Dritthersteller-CA-Zertifikate — eine Kompromittierung externer Zertifikate von Zertifizierungsstellen führt zur Kompromittierung von TLS für alle Clients. Schweregrad: Medium.

Die Schwachstellen in den Mali-Treibern und in arc-keymaster sind besonders gefährlich: Sie ermöglichen es einem Angreifer, der sich über einen Browser-Exploit einen ersten Zugriff verschafft hat, potenziell die Sandbox zu verlassen und Kontrolle auf Kernel- oder Host-System-Ebene zu erlangen. Damit wird aus einer Exploit-Kette mit begrenzter Codeausführung in der Sandbox eine vollständige Kompromittierung des Geräts.

Einschätzung der Auswirkungen

Das Ausmaß dieses Updates gehört 2026 zu den größten für ChromeOS. Zwölf kritische Schwachstellen in einem einzigen Release sind eine untypische Situation. Zuvor hatten wir bereits das Update auf Chrome 153 mit fünf kritischen Schwachstellen analysiert, das bereits als bedeutend galt.

Am stärksten gefährdet sind Organisationen, die ChromeOS in Bildungseinrichtungen und Unternehmensumgebungen einsetzen, in denen Chromebooks in großer Zahl ausgerollt werden und Updates mit Verzögerung erfolgen können. Geräte auf Basis des mt8196-Chips sind zusätzlich über den Fehler im Mali-Treiber angreifbar. Vorliegende Daten enthalten keine Hinweise auf eine aktive Ausnutzung der genannten Schwachstellen, doch das Fehlen solcher Informationen bedeutet nicht, dass keine Ausnutzung stattfindet.

Empfehlungen

1. Aktualisieren Sie ChromeOS umgehend über den Stable Channel auf Version 16836.19.0 (Browser 156.0.8078.42). Für verwaltete Geräteflotten sollten Sie das erzwungene Update über die Google-Administrationskonsole anstoßen.
2. Prüfen Sie die aktuelle Version auf jedem Gerät: Einstellungen → Über ChromeOS. Stellen Sie sicher, dass die Browserversion nicht unter 156.0.8078.42 liegt.
3. Für Geräte mit mt8196 — priorisieren Sie das Update wegen der Schwachstelle im Mali-Treiber, die eine nicht privilegierte Beschädigung des Kernel-Speichers ermöglicht.
4. Machen Sie sich mit dem Android-Sicherheitsbulletin für Oktober 2026 vertraut – das ChromeOS-Update umfasst auch diese Korrekturen.

Angesichts von 12 kritischen Browser-Schwachstellen mit der Möglichkeit zur Remote Code Execution über bösartige HTML-Seiten und drei Kernel-Fehlern, die zu einer vollständigen Kompromittierung des Geräts führen können, darf die Installation dieses Updates nicht aufgeschoben werden. Administratoren verwalteter ChromeOS-Flotten sollten das erzwungene Update auf Version 16836.19.0 innerhalb von Stunden und nicht erst in einigen Tagen ausrollen.