Chrome corrige 12 falhas e uma já está sendo explorada agora

Chrome acaba de receber um pacote com 12 correções de segurança. Além do volume, um detalhe pesa mais que os outros. Uma das falhas já é explorada publicamente. Ou seja, existe ataque acontecendo enquanto você lê esta frase. Portanto, adiar o reinício do navegador ficou caro.

Brecha que saiu do laboratório

A falha mais barulhenta da rodada é a CVE 2026 85046. No entanto, o problema é uma confusão de tipos no V8, o motor JavaScript↳JavaScript116 conteúdosJavaScript em 2020: O que esperarDev (Back & Front) · jan 2020Campos públicos e privados em classes JavaScript – O que vem por aí no ESNextDev (Back & Front) · abr 201929 anos de JavaScript!Dev (Back & Front) · jan 2025Ver tudo em Dev (Back & Front) → do Chrome. Salvatore Gulizia reportou a brecha em 4 de agosto. Depois disso, o Google confirmou que a exploração já acontece fora dos laboratórios. Aliás, essa foi a única correção da leva que rendeu recompensa. Além disso, o valor pago foi de US$ 1 mil, cerca de R$ 5.122 na conversão direta.

Por que confusão de tipos no V8 tira o sono de quem entende do assunto

Confusão de tipos acontece quando o motor lê um objeto na memória com o layout errado. Na prática, o V8 trata um ponteiro como se fosse um número comum. Assim, o atacante ganha leitura e escrita fora do espaço previsto. Em seguida, esse acesso costuma virar execução de código dentro do processo do renderizador. Como o V8 compila JavaScript em tempo de execução, o código gerado pela JIT amplia a superfície de ataque. Por isso, bugs no V8 aparecem com tanta frequência em campanhas reais de espionagem.

As outras 11 brechas do Chrome, uma a uma

O restante do pacote também merece leitura atenta. Além disso, sete brechas receberam gravidade alta e duas ficaram em gravidade média. Além do V8, a lista passa por WebGL, Skia, DevTools e CacheStorage.

Gravidade alta:

• CVE 2026 85052: leitura fora dos limites no CrashReporting. Relatado pelo Google.
• CVE 2026 85043: limpeza incompleta no Network. Relatado pelo Google.
• CVE 2026 85048: uso após liberação no Compositing. Relatado por Ngoc Hieu.
• CVE 2026 85045: condição de corrida no V8. Relatado pela equipe da XBOW.
• CVE 2026 85050: escrita fora dos limites no WebGL. Relatado pelo Google.
• CVE 2026 85053: exposição inadequada de recursos no CacheStorage. Relatado por Salvatore Gulizia (Serotav).
• CVE 2026 85042: uso após liberação no DevTools. Relatado pelo Google.
• CVE 2026 85049: uso após liberação no Skia. Relatado pelo Google.
• CVE 2026 85051: confusão de tipos no Compositing. Relatado pelo Google.

Gravidade média:

• CVE 2026 85047: validação inadequada de entrada no Transactions Platform. Relatado pelo Google.
• CVE 2026 85044: uso após liberação no Mobile. Relatado pelo Google.

Repare no padrão. Sendo assim, o uso após liberação aparece quatro vezes seguidas. Logo, memória continua sendo o calcanhar de aquiles de uma base escrita majoritariamente em C++.

Chrome, IA e bug bounty: a assinatura da XBOW no relatório

Um nome dessa lista merece um parágrafo próprio. A XBOW opera uma plataforma autônoma de segurança ofensiva movida a inteligência artificial↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI →. Em 2025, o sistema chegou ao topo do ranking global da HackerOne. Agora, a assinatura da empresa aparece em uma condição de corrida no V8. Portanto, a caça a bugs de navegador já divide espaço com agentes automatizados. Para quem escreve código, o recado é direto. No entanto, a janela entre commit e descoberta de falha encolhe a cada trimestre.

Como atualizar o Chrome antes que o ataque chegue até você

O pacote chegou pelo Canal Estável do navegador. No Windows e no macOS, a compilação é a 152.0.7977.82/.83. No Linux↳Linux34 conteúdosKali Linux em um Servidor VPS: como, quando e por que usar?DevSecOps · dez 2024Construindo um Windows Service ou Linux Daemon com Worker Service & .NET Core – Parte 2Dev (Back & Front) · jul 2020Criando uma WebApi utilizando .NET, Linux e VSCodeDev (Back & Front) · ago 2019Ver tudo em DevSecOps →, o número é 152.0.7977.82. Para conferir, abra o menu, entre em Ajuda e clique em Sobre o Google Chrome. Depois, reinicie o navegador. Enquanto o reinício não acontece, o binário antigo segue rodando na memória. Sendo assim, em parques corporativos, vale forçar a atualização por política de grupo ou MDM.

Chrome é só o começo: o efeito Chromium na sua stack

Edge, Brave, Opera e Vivaldi usam a mesma base do Chromium. Além deles, qualquer aplicativo em Electron carrega V8 e Blink embutidos. Logo, VS Code, Slack, Discord e Postman entram na conta. Também vale olhar para a automação do seu time. Playwright, Puppeteer e Chrome headless rodam dentro do pipeline todos os dias. Assim, uma imagem base desatualizada vira dívida técnica com prazo curto.

Checklist do Chrome para rodar ainda hoje

Comece pelo básico e siga para o ambiente de produção:

• Atualize as estações e force o reinício do navegador.
• Suba a versão da imagem Docker que roda Chrome headless na CI.
• Revise as versões de Electron empacotadas nos seus aplicativos internos.
• Confira o Content Security Policy e o isolamento de site nas suas aplicações web.
• Assine o feed de CVE do Chromium e conecte o alerta ao canal do time.

Acompanhe nosso perfil no Instagram!