CVE-2026-3909
Google Skia Out-of-Bounds Write Vulnerability
Beschreibung
CVE-2026-3909 ist eine schwerwiegende Out-of-bounds-Write-Schwachstelle in Google Skia, der Grafik-Engine von Google Chrome, mit einem CVSS-3.1-Score von 8.8 (HIGH). Ein Out-of-bounds-Write in Skia in Chrome vor Version 146.0.7680.75 ermöglicht einem entfernten Angreifer den Zugriff auf Speicher außerhalb des vorgesehenen Bereichs über eine speziell präparierte HTML-Seite. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, hinzugefügt am 2026-03-13 mit einer Behebungsfrist bis zum 2026-03-27. Mit einem EPSS-Score von 0,331 (33,1%) weist diese Schwachstelle eine signifikante reale Ausnutzungswahrscheinlichkeit auf und sollte in allen Umgebungen mit betroffenen Chrome-Versionen priorisiert behoben werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 146.0.7680.80 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_13.html(Release Notes, Vendor Advisory)
- https://issues.chromium.org/issues/491421267(Permissions Required)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-3909(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write (Schreiben außerhalb der Puffergrenzen)
CVE-2026-3909 wird unter CWE-787 klassifiziert — Out-of-bounds Write. Eine Out-of-bounds-Write-Schwachstelle tritt auf, wenn ein Programm Daten über das Ende oder vor den Anfang des zugewiesenen Speichers eines Puffers hinaus schreibt. Dies kann angrenzende Daten im Speicher beschädigen, die Anwendung zum Absturz bringen oder — im schwerwiegendsten Fall — einem Angreifer die Ausführung von beliebigem Code ermöglichen, indem kritische Kontrollstrukturen wie Funktionszeiger, Rücksprungadressen oder Heap-Metadaten überschrieben werden.
Im Kontext von Google Skia, der Grafik-Rendering-Bibliothek im Kern von Chrome und vielen anderen Anwendungen, sind Out-of-bounds-Write-Schwachstellen besonders gefährlich. Skia verarbeitet komplexe grafische Daten aus nicht vertrauenswürdigen Webinhalten, einschließlich Schriftarten, SVGs, Canvas-Operationen und Bilddekodierung. Ein Fehler in der Grenzenprüfung bei diesen Operationen bedeutet, dass eine speziell präparierte HTML-Seite Speicherbeschädigung im Renderer-Prozess auslösen kann. Obwohl Chromes Multi-Prozess-Sandbox-Architektur eine gewisse Eindämmung bietet, werden Renderer-Exploits häufig mit Sandbox-Escapes kombiniert, was jeden OOB-Write in Skia zu einem hochrangigen Ziel für fortgeschrittene Bedrohungsakteure macht.
Auswirkungsanalyse
CVE-2026-3909 hat einen CVSS-3.1-Score von 8.8 (HIGH) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung kann einem Angreifer das Lesen sensibler Daten aus dem Chrome-Renderer-Prozessspeicher ermöglichen, einschließlich Sitzungs-Tokens, Authentifizierungs-Cookies und Daten anderer Web-Origins, die denselben Prozess teilen.
Integrität (HIGH): Das Out-of-bounds-Write-Primitiv ermöglicht es einem Angreifer, Speicherinhalte zu modifizieren und potenziell beliebigen Code innerhalb des Renderer-Prozesses auszuführen. Dies könnte genutzt werden, um Webseiteninhalte zu verändern, Benutzereingaben abzufangen oder als Sprungbrett für eine vollständige Systemkompromittierung zu dienen.
Verfügbarkeit (HIGH): Die Ausnutzung kann Chrome zum Absturz bringen oder unresponsiv machen. Bei gezielten Angriffen ist der Verfügbarkeitseinfluss sekundär gegenüber dem Code-Execution-Potenzial, aber Drive-by-Exploitation im großen Maßstab könnte weitverbreitete Browser-Instabilität verursachen.
Der Angriff erfordert keine Privilegien und nur minimale Benutzerinteraktion — den Besuch einer bösartigen oder kompromittierten Webseite. Die niedrige Angriffskomplexität und der netzwerkbasierte Angriffsvektor machen diese Schwachstelle besonders geeignet für Watering-Hole-Angriffe und Malvertising-Kampagnen.
Exploit-Reifegrad
Exploit-Status: CVE-2026-3909 wird aktiv in der Praxis ausgenutzt und ist seit dem 2026-03-13 im CISA Known Exploited Vulnerabilities Katalog gelistet. Chrome-Zero-Days in Skia wurden historisch in gezielten Überwachungskampagnen und von Advanced Persistent Threat-Gruppen eingesetzt. Der EPSS-Score von 33,1% liegt deutlich über der Schwelle für erwartete Ausnutzung in der Praxis.
Ransomware-Bezug: Derzeit ist keine direkte Ransomware-Assoziation bestätigt. Browser-basierte Initial-Access-Schwachstellen werden jedoch zunehmend in Lieferketten sowohl für Spionage als auch für finanziell motivierte Operationen eingebunden.
Angriffsfläche: Jedes Gerät mit Google Chrome (oder Chromium-basierten Browsern wie Microsoft Edge, Brave oder Opera) vor Version 146.0.7680.75 ist verwundbar. Der Angriff erfordert lediglich, dass ein Benutzer eine Seite mit dem präparierten HTML-Inhalt aufruft, was Drive-by-Download-Szenarien hochgradig praktikabel macht.
KEV-Frist: Die CISA hat eine Behebungsfrist bis zum 2026-03-27 festgelegt. Angesichts der bestätigten Ausnutzung sollten alle Organisationen Chrome sofort aktualisieren, ohne auf reguläre Patch-Zyklen zu warten.
Behebung
- Google Chrome sofort aktualisieren. Stellen Sie sicher, dass alle Instanzen von Google Chrome auf Version 146.0.7680.75 oder höher aktualisiert sind. Überprüfen Sie, dass automatische Updates in Ihrer gesamten Flotte korrekt funktionieren. Chromium-basierte Browser (Edge, Brave, Opera) sollten ebenfalls auf entsprechende Patches geprüft werden.
- Browser-Versionscompliance durchsetzen. Verwenden Sie Endpoint-Management-Tools, um sicherzustellen, dass keine Geräte in Ihrer Umgebung verwundbare Chrome-Versionen ausführen. Blockieren oder alarmieren Sie bei veralteten Browser-Versionen über Ihre Sicherheitstools.
- Interim-Maßnahmen bei verzögertem Patching umsetzen. Falls sofortiges Patching nicht möglich ist, erwägen Sie die Einschränkung des Zugriffs auf nicht vertrauenswürdige Webinhalte, die Aktivierung von Site-Isolation-Richtlinien und den Einsatz von Web-Content-Filtering zur Reduzierung der Exposition gegenüber bösartigen HTML-Inhalten.
- Browser-Sicherheitsrichtlinien überprüfen. Stellen Sie sicher, dass Chrome-Enterprise-Richtlinien konfiguriert sind, um automatische Updates zu erzwingen, gefährliche Downloads einzuschränken und erweiterten Safe-Browsing-Schutz zu aktivieren.
- Auf Kompromittierungsindikatoren prüfen. Angesichts der bestätigten aktiven Ausnutzung überprüfen Sie Endpoint-Detection-Logs auf ungewöhnliche Chrome-Renderer-Abstürze, verdächtiges Spawnen von Kindprozessen durch Chrome oder anomale Netzwerkaktivität nach Browser-Nutzung.
- Dringlichkeit an Endbenutzer kommunizieren. Informieren Sie Benutzer über die aktive Ausnutzung und weisen Sie sie an, ihre Browser neu zu starten, um ausstehende Updates anzuwenden.
Technische Details
CVE-2026-3909 ist eine schwerwiegende Out-of-bounds-Write-Schwachstelle in der Skia-Grafikbibliothek, wie sie in Google Chrome integriert ist. Die Schwachstelle ist aus der Ferne über das Netzwerk mit niedriger Angriffskomplexität ausnutzbar. Es sind keine Authentifizierung oder Privilegien erforderlich, obwohl minimale Benutzerinteraktion (Besuch einer Webseite) notwendig ist, um den Fehler auszulösen.
Technischer Mechanismus: Die Schwachstelle befindet sich in Skias Verarbeitung bestimmter grafischer Operationen bei der Verarbeitung präparierter HTML-Inhalte. Unzureichende Grenzenvalidierung während einer Schreiboperation ermöglicht es, Daten über den zugewiesenen Puffer hinaus zu schreiben. In der Chrome-Rendering-Pipeline verarbeitet Skia zahlreiche komplexe Datentypen — einschließlich Pfade, Shader, Bilder und Textrendering-Anweisungen — aus potenziell nicht vertrauenswürdigen Webinhalten. Der spezifische Fehler ermöglicht es einem vom Angreifer kontrollierten Wert, einen Schreiboffset oder eine Länge zu beeinflussen, was zur Beschädigung des angrenzenden Heap-Speichers führt.
CVSS-3.1-Vektoranalyse (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H): Der Netzwerk-Angriffsvektor spiegelt wider, dass die Ausnutzung über normales Web-Browsing erfolgt. Niedrige Angriffskomplexität bedeutet, dass keine besonderen Bedingungen erforderlich sind. Keine Privilegien sind nötig, aber Benutzerinteraktion (Navigation zu einer bösartigen Seite) ist erforderlich. Der Unchanged Scope bedeutet, dass die Auswirkungen auf die Chrome-Prozessgrenze auf Schwachstellenebene beschränkt sind. Alle drei Auswirkungsmetriken sind HIGH.
Betroffene Versionen: Google Chrome vor 146.0.7680.75. Alle Plattformen (Windows, macOS, Linux, ChromeOS) mit betroffenen Versionen sind verwundbar.
Häufig gestellte Fragen
Was ist CVE-2026-3909?
CVE-2026-3909 ist eine schwerwiegende (CVSS 8.8) Out-of-bounds-Write-Schwachstelle in Google Skia, der Grafikbibliothek von Chrome. Sie ermöglicht entfernten Angreifern den Zugriff auf Speicher außerhalb der vorgesehenen Grenzen über präparierte HTML-Inhalte. Die Schwachstelle wird aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet.
Welche Browser sind von CVE-2026-3909 betroffen?
Google Chrome vor Version 146.0.7680.75 ist direkt betroffen. Andere Chromium-basierte Browser — einschließlich Microsoft Edge, Brave, Opera und Vivaldi — können ebenfalls betroffen sein, wenn sie den verwundbaren Skia-Code enthalten. Prüfen Sie die Sicherheitshinweise jedes Browser-Herstellers für ihre spezifischen gepatchten Versionen.
Wie behebe ich CVE-2026-3909?
Aktualisieren Sie Google Chrome sofort auf Version 146.0.7680.75 oder höher. Sie können Ihre aktuelle Version unter chrome://settings/help überprüfen. Aktivieren Sie automatische Updates, um zeitnahen Schutz gegen zukünftige Schwachstellen sicherzustellen. In Unternehmensumgebungen verwenden Sie Ihre Endpoint-Management-Plattform, um das Update auf allen verwalteten Geräten zu verteilen und zu verifizieren.
Wie schwerwiegend ist CVE-2026-3909?
CVE-2026-3909 ist mit einem CVSS-Score von 8.8 als HIGH eingestuft und hat einen EPSS-Score von 33,1%. Die Schwachstelle wird aktiv in der Praxis ausgenutzt und wurde mit einer Behebungsfrist bis zum 2026-03-27 in den CISA KEV-Katalog aufgenommen. Die Kombination aus Remote-Ausnutzbarkeit, niedriger Komplexität und vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit macht diese Schwachstelle zu einer kritischen Priorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.