Recentemente, o Google liberou uma atualização para o Chrome 148 que corrige 79 vulnerabilidades. Dentre elas, 14 foram classificadas como críticas. Para desenvolvedores que trabalham com aplicações web, essa não é apenas mais uma nota de release. Falha atinge componentes que rodam código em tempo de execução no navegador do usuário final.

Além disso, a Mozilla também publicou correções urgentes no Firefox 150.0.3. Portanto, se você mantém aplicações que dependem de renderização gráfica, machine learning no client-side ou WebAssembly, é hora de revisar pipelines de CI, políticas de CSP e estratégias de atualização forçada.

A seguir, vamos destrinchar tecnicamente cada categoria de vulnerabilidade, entender o impacto real no desenvolvimento e discutir o que fazer agora.

CVE-2026-8509: a falha de US$ 43 mil que expõe o componente WebML

Primeiramente, vale destacar a vulnerabilidade mais crítica do pacote. Trata-se da CVE-2026-8509, classificada como heap buffer overflow no componente WebML. Esse módulo é responsável por executar modelos de machine learning diretamente no navegador.

Em termos práticos, um heap buffer overflow ocorre quando o programa grava dados além dos limites da área de memória reservada. Consequentemente, o atacante pode sobrescrever estruturas adjacentes na heap e, eventualmente, conseguir execução remota de código.

Para desenvolvedores que estão começando a usar APIs como WebNN ou bibliotecas de inferência client-side (TensorFlow.js, ONNX Runtime Web), o recado é claro: a superfície de ataque do navegador cresceu junto com o ecossistema de IA. Por isso, validação rigorosa de modelos carregados dinamicamente deixou de ser opcional.

O pesquisador que reportou a falha recebeu US$ 43 mil de recompensa. Esse valor, aliás, sinaliza o quanto o Google considera grave a possibilidade de comprometimento via WebML.

Skia, ANGLE e o risco e falha silenciosa do integer overflow

A segunda falha crítica paga, CVE-2026-8510, é um integer overflow no Skia. Para quem não conhece, o Skia é a biblioteca de gráficos 2D que o Chrome utiliza para renderizar imagens, textos e interfaces. Ou seja, praticamente qualquer página web passa por ele.

De forma resumida, um integer overflow acontece quando uma operação matemática produz um número maior do que o tipo de dado consegue armazenar. Como resultado, o sistema apresenta comportamentos inesperados, que vão desde travamentos até execução arbitrária de código.

Igualmente preocupante, outra falha crítica do tipo integer overflow foi encontrada no ANGLE, a camada de tradução entre WebGL e as APIs gráficas nativas do sistema operacional. Portanto, se sua aplicação usa shaders customizados, canvas WebGL ou bibliotecas como Three.js, esse é um ponto de atenção adicional.

Por essas razões, validação de entrada em qualquer código que manipule dimensões, índices ou contadores precisa ser tratada com extremo cuidado.

Use-after-free: oito falhas que revelam um padrão preocupante

Curiosamente, das 14 falhas críticas, oito são do tipo use-after-free. Esse tipo de vulnerabilidade ocorre quando o programa continua usando uma área de memória depois de já tê-la liberado. Os componentes afetados foram:

• UI
• FileSystem
• Input
• Aura
• HID
• Blink
• Tab Groups
• Downloads

Para desenvolvedores C++ que contribuem com projetos open source ou trabalham com Electron, essa lista é familiar. Inclusive, o gerenciamento manual de memória continua sendo a maior fonte de CVEs críticas em navegadores. Por isso mesmo, o Google e a Mozilla vêm migrando partes do código para Rust nos últimos anos.

Adicionalmente, foram corrigidas uma falha de validação insuficiente no DataTransfer, um problema no ciclo de vida de objetos no WebShare e uma condição de corrida no módulo de Payments. Condições de corrida, vale lembrar, ocorrem quando dois processos acessam o mesmo recurso simultaneamente.

Falha de alta gravidade e o que isso significa para sua pipeline

Além das 14 críticas, a atualização resolve 37 vulnerabilidades de alta gravidade. O conjunto inclui type confusion, out-of-bounds write, insufficient policy enforcement e mais ocorrências de use-after-free.

No total, o Google pagou US$ 44 mil em recompensas por quatro dessas falhas reportadas externamente. Entretanto, o montante final ainda pode crescer, já que algumas descobertas não tiveram valores divulgados.

Em paralelo, a nova versão está sendo distribuída gradualmente:

• Linux: 148.0.7778.167
• Windows e macOS: 148.0.7778.167/168

Dessa forma, equipes que mantêm aplicações corporativas com versões fixadas de Chromium (via Electron, CEF ou Puppeteer) devem priorizar a atualização das dependências.

Firefox 150.0.3: motor JavaScript e WebAssembly sob a mira

Da mesma forma, a Mozilla lançou o Firefox 150.0.3 corrigindo cinco vulnerabilidades de alta gravidade. Quatro delas estão no motor JavaScript, afetando o JIT (compilador just-in-time) e o engine em geral. Ou seja, código JavaScript malicioso poderia explorar bugs do próprio compilador para escapar das proteções padrão.

A quinta falha, identificada como CVE-2026-8401, é um sandbox escape no componente de backup de perfis. Em outras palavras, uma sandbox é um ambiente isolado projetado para impedir que código malicioso afete o restante do sistema. Quando essa barreira é rompida, o atacante ganha acesso a outras partes do dispositivo.

Notavelmente, a CVE-2026-8390 foi reportada pela equipe OpenAI Preparedness em conjunto com o pesquisador Bill Demirkapi. Esse é um sinal interessante: laboratórios de IA agora destinam equipes específicas para auditar a infraestrutura que executa modelos e agentes web.

O que fazer agora: checklist prático para devs

Embora nenhuma das falhas tenha registro de exploração ativa, esperar não é uma estratégia razoável. Portanto, aqui vai um plano de ação direto:

• Force a atualização do Chrome e Firefox em estações de desenvolvimento e ambientes corporativos
• Audite dependências Electron, CEF e Puppeteer para garantir que estejam usando builds atualizados do Chromium
• Revise sua Content Security Policy para reduzir a superfície de ataque em caso de exploração futura
• Habilite atualizações automáticas em fleet management quando possível
• Monitore advisories do Chrome Releases Blog e do Mozilla Foundation Security

Por fim, vale reforçar um ponto cultural. Frequentemente, devs tratam o navegador como uma caixa-preta confiável. Contudo, cada nova API (WebML, WebGPU, WebUSB, WebHID) amplia o vetor de ataque. Logo, segurança no front-end não é mais responsabilidade exclusiva da equipe de infra.

Considerações finais

Em síntese, a leva de correções do Chrome 148 e do Firefox 150.0.3 mostra como o ciclo de descoberta e patch de vulnerabilidades segue acelerado. Para desenvolvedores, a lição vai além de atualizar o navegador. Trata-se de entender que componentes como Skia, Blink, ANGLE e os motores JavaScript são, na prática, dependências críticas das aplicações que entregamos.

Portanto, acompanhar advisories de segurança deveria ter o mesmo peso que acompanhar releases de frameworks. Afinal, no fim das contas, é o navegador que executa o código que escrevemos.

Acompanhe nosso perfil no Instagram!