CVE-2026-2441
Google Chromium CSS Use-After-Free Vulnerability
Beschreibung
CVE-2026-2441 ist eine schwerwiegende Use-After-Free-Schwachstelle in der CSS-Verarbeitung von Google Chrome. Ein entfernter Angreifer kann durch eine speziell praeparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausfuehren. Die Schwachstelle wurde mit einem CVSS v3.1-Score von 8.8 (HIGH) bewertet und betrifft alle Chrome-Versionen vor 145.0.7632.75.
Die CISA hat CVE-2026-2441 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, was auf eine aktive Ausnutzung in freier Wildbahn hinweist. Die Behebungsfrist ist auf den 10. Maerz 2026 festgelegt. Der EPSS-Score liegt bei 0.35 % (56. Perzentil), was eine moderate Ausnutzungswahrscheinlichkeit signalisiert. Die Existenz eines oeffentlich verfuegbaren Proof-of-Concept-Exploits erhoeht das Risiko jedoch erheblich.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 145.0.7632.75; < 145.0.7632.76 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2026/02/stable-channel-update-for-desktop_13.html(Release Notes)
- https://issues.chromium.org/issues/483569511(Issue Tracking, Permissions Required)
- https://github.com/huseyinstif/CVE-2026-2441-PoC/blob/main/poc.html(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-2441(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2026-2441 basiert auf CWE-416 (Use After Free), einer der gefaehrlichsten Klassen von Speicherkorruptionsschwachstellen. Bei dieser Schwachstellenart greift ein Programm auf einen Speicherbereich zu, nachdem dieser bereits freigegeben wurde. Im Fall von CVE-2026-2441 tritt dieses Problem in der CSS-Engine von Google Chrome auf, wenn bestimmte CSS-Strukturen verarbeitet werden.
Use-After-Free-Schwachstellen sind besonders gefaehrlich, weil der freigegebene Speicher moeglicherweise bereits mit neuen Daten belegt wurde. Ein Angreifer kann dies ausnutzen, um eigene Daten in den freigegebenen Speicherbereich zu platzieren und so die Programmausfuehrung zu manipulieren. In Browsern wie Chrome fuehrt dies haeufig zu Remote Code Execution, da die komplexe Rendering-Engine zahlreiche Speicheroperationen durchfuehrt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-2441 sind trotz der Sandbox-Beschraenkung erheblich. Vertraulichkeit: Ein erfolgreicher Angriff ermoeglicht dem Angreifer das Auslesen sensibler Daten innerhalb der Sandbox, einschliesslich Sitzungscookies, gespeicherter Formulardaten und Inhalte anderer geoeffneter Tabs im selben Renderer-Prozess. Der CVSS-Vektor bewertet den Vertraulichkeitsverlust als hoch (C:H).
Integritaet: Innerhalb der Sandbox kann der Angreifer beliebigen Code ausfuehren, was die Manipulation von Webseiteninhalten, das Einschleusen von Schadcode und die Veraenderung von Browser-Daten ermoeglicht. In Kombination mit weiteren Schwachstellen koennte ein Sandbox-Escape erreicht werden, der vollstaendigen Systemzugriff gewaehrt. Die Integritaet wird als hoch beeintraechtigt bewertet (I:H).
Verfuegbarkeit: Die Schwachstelle kann zum Absturz des betroffenen Renderer-Prozesses fuehren, was den Verlust nicht gespeicherter Daten in den betroffenen Tabs zur Folge hat. Wiederholte Ausnutzung kann die Browserstabilitaet erheblich beeintraechtigen (A:H). Besonders kritisch ist, dass fuer die Ausnutzung lediglich der Besuch einer manipulierten Webseite erforderlich ist (UI:R), waehrend keine Authentifizierung notwendig ist (PR:N).
Exploit-Reifegrad
CVE-2026-2441 weist eine besorgniserregende Exploit-Reife auf. Die CISA hat die Schwachstelle als aktiv ausgenutzt in den KEV-Katalog aufgenommen und eine Behebungsfrist bis zum 10. Maerz 2026 festgelegt. Der Ransomware-Status wird derzeit als Unknown gefuehrt.
Besonders alarmierend ist die Existenz eines oeffentlich verfuegbaren Proof-of-Concept (PoC) Exploits auf GitHub: CVE-2026-2441-PoC. Dieser PoC demonstriert die Ausnutzung der Use-After-Free-Schwachstelle ueber eine praeparierte HTML-Seite und senkt die technische Huerde fuer potenzielle Angreifer erheblich. Der EPSS-Score von 0.35 % (56. Perzentil) erscheint angesichts des oeffentlichen PoC moderat, was darauf hindeutet, dass die Ausnutzung zwar moeglich, aber technisch anspruchsvoll ist. Die Sandbox-Beschraenkung von Chrome begrenzt den unmittelbaren Schaden, jedoch zeigen vergangene Angriffsketten, dass Use-After-Free-Schwachstellen haeufig als erster Schritt in mehrstufigen Exploit-Ketten verwendet werden.
Behebung
-
Sofortiges Browser-Update: Aktualisieren Sie Google Chrome umgehend auf Version 145.0.7632.75 oder hoeher. Chrome aktualisiert sich in der Regel automatisch, jedoch sollte der Update-Status unter chrome://settings/help manuell ueberprueft werden. Starten Sie den Browser nach dem Update neu, damit die Aenderungen wirksam werden.
-
Unternehmensweites Patch-Management: In Unternehmensumgebungen sollte das Update ueber die zentrale Verwaltung (Google Admin Console, SCCM, Intune oder aehnliche Tools) ausgerollt werden. Priorisieren Sie dieses Update aufgrund der KEV-Listung und des oeffentlichen PoC-Exploits gegenueber anderen Browser-Updates.
-
Chromium-basierte Browser pruefen: Die Schwachstelle betrifft die Chromium-Engine und damit potenziell auch andere Chromium-basierte Browser wie Microsoft Edge, Brave und Opera. Stellen Sie sicher, dass auch diese Browser auf Versionen aktualisiert werden, die den Fix enthalten.
-
Netzwerkschutz als Uebergangsmassnahme: Bis zum Abschluss des Rollouts koennen Web-Proxies und Content-Filter eingesetzt werden, um den Zugriff auf bekannte boesartige Domains zu blockieren. Aktivieren Sie Chrome-Sicherheitsfunktionen wie Safe Browsing im erweiterten Modus.
-
Sicherheitsrichtlinien ueberpruefen: Stellen Sie sicher, dass Chrome Enterprise-Richtlinien wie Site Isolation aktiviert sind, um die Auswirkungen einer Sandbox-Kompromittierung zu minimieren. Ueberpruefen Sie, ob automatische Updates in Ihrer Umgebung korrekt funktionieren.
Technische Details
CVE-2026-2441 betrifft die CSS-Verarbeitung in Google Chrome vor Version 145.0.7632.75. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk erfolgt (AV:N), eine geringe Komplexitaet aufweist (AC:L), keine Privilegien erfordert (PR:N), jedoch eine Benutzerinteraktion in Form des Besuchs einer praeparierten Webseite voraussetzt (UI:R).
Die Schwachstelle manifestiert sich als Use-After-Free in der CSS-Engine des Browsers. Wenn bestimmte CSS-Strukturen verarbeitet werden, kann es zu einer fehlerhaften Freigabe eines Speicherobjekts kommen, waehrend noch aktive Referenzen darauf existieren. Ein Angreifer kann diese Situation gezielt herbeifuehren, indem er eine HTML-Seite mit speziell konstruierten CSS-Regeln erstellt, die den fehlerhaften Codepfad ausloesen.
Betroffene Versionen umfassen alle Google Chrome Builds vor 145.0.7632.75. Die Schwachstelle wurde im Rahmen des Stable Channel Updates vom 13. Februar 2026 behoben, wie im Chrome Releases Blog dokumentiert. Der zugehoerige Bug-Tracker-Eintrag ist unter issues.chromium.org verfuegbar. Der Scope ist als Unchanged (S:U) bewertet, was bedeutet, dass die Codeausfuehrung auf die Chrome-Sandbox beschraenkt bleibt und nicht direkt auf das Betriebssystem uebergreift.
Häufig gestellte Fragen
Reicht ein einfacher Webseitenbesuch aus, um CVE-2026-2441 auszuloesen?
Ja, fuer die Ausnutzung von CVE-2026-2441 genuegt der Besuch einer manipulierten Webseite. Der Angreifer muss lediglich eine HTML-Seite mit speziell praeparierten CSS-Strukturen bereitstellen. Keine weitere Benutzerinteraktion wie Klicks oder Downloads ist erforderlich, sobald die Seite geladen wird.
Schuetzt die Chrome-Sandbox vor den Auswirkungen?
Die Sandbox begrenzt den unmittelbaren Schaden, da der ausgefuehrte Code zunaechst innerhalb der Sandbox eingesperrt bleibt. Allerdings kann ein Angreifer innerhalb der Sandbox bereits auf sensible Browser-Daten zugreifen. Zudem werden Use-After-Free-Schwachstellen haeufig als erster Schritt in Exploit-Ketten verwendet, um in Kombination mit einer Sandbox-Escape-Schwachstelle vollstaendigen Systemzugriff zu erlangen.
Sind auch andere Chromium-basierte Browser betroffen?
Ja, da die Schwachstelle in der Chromium-Engine liegt, sind potenziell auch Microsoft Edge, Brave, Opera und andere Chromium-basierte Browser betroffen. Pruefen Sie die jeweiligen Update-Kanaele auf entsprechende Sicherheitspatches.
Gibt es einen oeffentlichen Exploit fuer CVE-2026-2441?
Ja, ein Proof-of-Concept-Exploit ist oeffentlich auf GitHub verfuegbar. Dies erhoeht das Risiko erheblich, da auch weniger versierte Angreifer die Schwachstelle ausnutzen koennten. Ein sofortiges Update ist daher dringend empfohlen.
Wurde CVE-2026-2441 in Ransomware-Angriffen eingesetzt?
Der Ransomware-Status wird von der CISA derzeit als Unknown gefuehrt. Die aktive Ausnutzung ist jedoch bestaetigt, und die oeffentliche Verfuegbarkeit eines PoC-Exploits macht den Einsatz in breit angelegten Kampagnen wahrscheinlicher.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.