![\"\"](\"https:\/\/certitude.consulting\/blog\/wp-content\/uploads\/2026\/10\/Grafik-1024x682.png\")
<\/figure>\n\n\n\nDie Ver\u00e4nderung f\u00e4llt mit Googles schnellem Ausbau des Einsatzes von KI in der Security Research zusammen. Im Juli beschrieb das Chrome Security Team dies als eine \u201emassive Ver\u00e4nderung in der Software Security Branche\u201c und erkl\u00e4rte, dass Large Language Models die automatisierte Entdeckung von Schwachstellen in einem Ma\u00dfstab erm\u00f6glichen, der \u00fcber traditionelle menschliche Forschung hinausgeht. Google gibt an, KI inzwischen \u00fcber den gesamten Vulnerability Lifecycle hinweg einzusetzen, einschlie\u00dflich der Suche nach, der Reproduktion, der Triage und der Behebung von Schwachstellen.<\/p>\n\n\n\n
Die erste von Schweitzer gemeldete Schwachstelle, CVE-2026-9034, betrifft den Arm Mali GPU Userspace Treiber. Laut der \u00f6ffentlichen Sicherheitsmeldung k\u00f6nnte ein nicht privilegierter Prozess, der g\u00fcltige GPU-Operationen \u201evia WebGL oder WebGPU\u201c ausf\u00fchrt, auf bereits freigegebenen Speicher zugreifen. Die Schwachstelle betrifft mehrere Generationen von Arm-GPU-Treibern, darunter die 5th Gen GPU-Architektur, die Grafik- und Compute-Funktionen f\u00fcr eine gro\u00dfe Bandbreite von Consumer-Ger\u00e4ten bereitstellt, darunter Smartphones, Tablets, Fernseher und Wearables.<\/p>\n\n\n\n
Die zweite Schwachstelle, CVE-2026-93374, betrifft Google Chrome. Google stuft sie als kritisch ein und beschreibt sie als \u201eUse after free in Dawn\u201c, der Chromium-Implementierung von WebGPU. Die \u00f6ffentliche CVE-Beschreibung identifiziert das Problem als remote erreichbar \u00fcber eine manipulierte HTML-Seite und als potenziellen Sandbox Escape: \u201eUse after free in Dawn in Google Chrome on Android prior to 153.0.8010.52 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical)\u201c<\/p>\n\n\n\n
M\u00f6glicher Sandbox Escape<\/h2>\n\n\n\n
Die Chrome Sandbox ist eine zentrale Sicherheitsgrenze, die darauf ausgelegt ist, den Zugriff exponierter Browser-Komponenten, die f\u00fcr die Darstellung von Websites zust\u00e4ndig sind, auf das zugrunde liegende Betriebssystem zu beschr\u00e4nken. Schwachstellen, die diese Grenze \u00fcberwinden k\u00f6nnen, sind daher besonders gef\u00e4hrlich. Der Exploit-Code kann \u00fcber einen Link zu einer Website bereitgestellt werden.<\/p>\n\n\n\n
Google schreibt Florian Schweitzer die Meldung der Chrome-Schwachstelle am 8. April 2026 zu. Auch Arm nennt Schweitzer von Certitude Consulting \u00f6ffentlich als Entdecker von CVE-2026-9034.<\/p>\n\n\n\n
Detaillierte technische Informationen werden w\u00e4hrend des Coordinated Disclosure-Prozesses bewusst zur\u00fcckgehalten, um keine Informationen bereitzustellen, die eine Ausnutzung erm\u00f6glichen k\u00f6nnten, bevor betroffene Systeme ausreichend gesch\u00fctzt sind. Weitere Einzelheiten werden zu einem geeigneten Zeitpunkt ver\u00f6ffentlicht.<\/p>\n\n\n\n
\u00d6ffentliche Referenzen<\/strong><\/p>\n\n\n\n Arm Security Advisory: CVE-2026-9034, September 8, 2026 Florian Schweitzer, Security Researcher bei Certitude Consulting, hat zwei schwerwiegende Schwachstellen in Produkten von Google und Arm identifiziert, die denselben Angriffsvektor im GPU Software Stack betreffen, der von modernen Webbrowsern und mobilen Ger\u00e4ten verwendet wird (CVE-2026-9034 und CVE-2026-93374). Das Problem kann \u00fcber JavaScript ausgel\u00f6st werden und k\u00f6nnte einen Sandbox Escape erm\u00f6glichen. Solche Schwachstellen k\u00f6nnen dazu […]<\/p>\n","protected":false},"author":12,"featured_media":4197,"comment_status":"closed","ping_status":"open","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[78],"tags":[917,872],"class_list":["post-4194","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-schwachstellen-research","tag-cve-2026-9034","tag-schwachstellenidentifikation"],"_links":{"self":[{"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/posts\/4194","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/users\/12"}],"replies":[{"embeddable":true,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/comments?post=4194"}],"version-history":[{"count":6,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/posts\/4194\/revisions"}],"predecessor-version":[{"id":4219,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/posts\/4194\/revisions\/4219"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/media\/4197"}],"wp:attachment":[{"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/media?parent=4194"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/categories?post=4194"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/certitude.consulting\/blog\/wp-json\/wp\/v2\/tags?post=4194"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
https:\/\/support.arm.com\/documentation\/111552\/1-0\/?lang=en<\/a>
NIST NVD: CVE-2026-9034
https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-9034<\/a>
Google Chrome Security Announcement: CVE-2026-93374, September 17, 2026
https:\/\/chromereleases.googleblog.com\/2026\/09\/stable-channel-update-for-desktop_0194356994.html<\/a>
NIST NVD: CVE-2026-93374
https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2026-93374<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"