O Google liberou o Chrome 155 para o canal Stable com 10 correções de segurança. Uma delas é classificada como crítica: um caso de uso após liberação de memória (use-after-free) no Prerender, rastreado como CVE-2026-110922 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns). A atualização foi publicada em 15 de outubro de 2026.
O canal Stable passa a usar a versão 155.0.8059.84/.85 para Windows e Mac, e a 155.0.8059.84 para Linux. O Google afirma que a distribuição ocorrerá « nos próximos dias/semanas ».
Os usuários não devem aguardar a atualização automática. Eles podem abrir a página Sobre do Chrome para iniciar o processo e, depois, reiniciar o navegador.
Falhas de segurança do Chrome 155
De acordo com o aviso de atualização publicado pelo Google, a CVE-2026-110922 é um caso de uso após liberação de memória no Prerender, recurso que carrega páginas em segundo plano para acelerar a navegação. Xinyang Ge relatou a falha em 2 de outubro de 2026.
Falhas do tipo use-after-free ocorrem quando o código continua usando uma área de memória depois que ela já foi liberada. Atacantes podem explorá-las para corromper a memória e, em alguns casos, executar código arbitrário dentro do renderizador.
O Google não divulgou detalhes sobre a exploração dessas falhas. A empresa também mantém o acesso ao rastreador de bugs restrito até que a maioria dos usuários tenha atualizado o navegador.
Cinco das seis falhas de gravidade alta estão nos componentes V8 (motor de JavaScript e WebAssembly do Chrome), DOM (Modelo de Objeto de Documento), Core e SVG (Scalable Vector Graphics). A sexta é a CVE-2026-110913, detalhada a seguir. Xinyang Ge relatou quatro dessas falhas, três delas no V8.
A CVE-2026-110913 se destaca. Trata-se de uma falha de corrupção de memória no DOM, relatada por Xinyang Ge, da Anthropic, e « assistida por Claude » em 29 de setembro de 2026. O Google credita um modelo de inteligência artificial no relatório, o que se encaixa em uma tendência crescente de pesquisas de vulnerabilidades com auxílio de IA.
Pesquisadores do próprio Google relataram as três falhas de gravidade média. São elas: uma falha de validação inadequada de entrada no Desktop, um caso de uso após liberação de memória em Compositing e uma falha de corrupção de memória em Workers. O bug do Desktop foi relatado em 12 de abril de 2026, o que o torna o mais antigo do lote.
O Google afirma ter encontrado muitas dessas falhas com AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer e AFL (American Fuzzy Lop).
O aviso não relata nenhuma exploração ativa dessas falhas. Elas foram relatadas entre abril e outubro de 2026.
Administradores devem implantar o Chrome 155.0.8059.84/.85 em todos os equipamentos gerenciados e confirmar que os navegadores são reiniciados após a atualização. Outros navegadores baseados no Chromium, como Edge, Brave e Opera, costumam herdar essas correções. Cada fornecedor deve ser consultado para verificar sua própria versão corrigida.
