O Google corre para conter uma nova ameaça à segurança digital com a correção de sua oitava vulnerabilidade zero-day ativamente explorada no navegador Chrome em 2026. O número, divulgado em um alerta de segurança na segunda-feira, já iguala o total de falhas corrigidas em todo o ano de 2025, com quase dois meses restantes no calendário. A mais recente falha, identificada como CVE-2026-125350, é uma vulnerabilidade de uso após liberação (use-after-free) de alta gravidade, localizada no componente XML do navegador.

A corrida armamentista digital

A descoberta ressalta a persistente batalha entre desenvolvedores de software e agentes maliciosos. A Google confirmou que atacantes já estão explorando a falha, embora a identidade dos perpetradores e os alvos específicos permaneçam desconhecidos. A empresa declarou estar ciente da exploração da CVE-2026-125350, mas ofereceu poucos detalhes adicionais sobre os ataques. A vulnerabilidade, reportada anonimamente em 6 de novembro, envolve um erro de gerenciamento de memória que permite que o software continue utilizando um ponteiro para uma área de memória que já foi liberada. Tais falhas podem, em teoria, permitir que atacantes corrompam a memória e executem código malicioso, embora a Google não tenha especificado como esta falha em particular está sendo explorada.

Mecanismos e Mitigações

A estratégia da Google de reter detalhes técnicos sobre a falha até que um número suficiente de usuários instale a correção é uma abordagem familiar. O objetivo é dificultar que outros atacantes obtenham um exploit funcional. O patch está sendo distribuído na versão 157.0.8103.50/.51 para Windows e macOS, e 157.0.8103.50 para Linux. A atualização também aborda outras oito vulnerabilidades de segurança, incluindo falhas de alta gravidade nos componentes WebGL, FileSystem, GPU, Compositing e no motor V8 JavaScript. Paralelamente, a atualização corrige outra falha de uso após liberação no componente XML, CVE-2026-125346, reportada por Arni Hardarson da Neonix Security em outubro, embora a Google não tenha indicado que esta segunda vulnerabilidade também esteja sendo explorada.

Implicações e o Futuro

Este incidente se soma a uma lista crescente de vulnerabilidades zero-day no Chrome ao longo de 2026. Em junho, a Google já havia corrigido cinco falhas ativamente exploradas, incluindo problemas no motor V8 JavaScript, na biblioteca gráfica Skia e na implementação WebGPU. O número aumentou com duas correções adicionais para bugs no V8 em setembro, e a mais recente vulnerabilidade no XML eleva o total para oito. Isso coloca 2026 em paridade com 2025, ano em que a Google também corrigiu oito zero-days explorados. A questão que fica é se a empresa conseguirá evitar a descoberta de novas falhas nos meses restantes.

Perguntas em Aberto

A Google afirma que a atualização será implementada gradualmente nas próximas semanas. No entanto, os usuários podem verificar manualmente a versão do Chrome em suas configurações. Dada a exploração ativa da vulnerabilidade, a verificação manual e a atualização imediata são recomendadas para mitigar riscos. A persistência dessas falhas levanta questões sobre a eficácia das atuais estratégias de segurança e a velocidade com que novas ameaças podem surgir e ser exploradas.

Com reportagem de Brazil Valley

Source · The Register