O Google divulgou nesta quinta-feira atualizações para corrigir 230 vulnerabilidades de segurança, incluindo uma que vem sendo explorada ativamente.
A vulnerabilidade de severidade média, identificada pelo código CVE-2026-87491 (com pontuação CVSS — Common Vulnerability Scoring System, ou Sistema Comum de Pontuação de Vulnerabilidades — não disponível), foi descrita como uma falha de escrita fora dos limites no V8, o motor de JavaScript e WebAssembly do Chrome.
"Uma escrita fora dos limites no V8 do Google Chrome anterior à versão 153.0.8010.36 permitia que um atacante remoto executasse código arbitrário dentro do sandbox (ambiente isolado de execução) por meio de uma página HTML (linguagem de marcação para páginas web) criada especificamente para esse fim", diz a descrição da falha na Base de Dados Nacional de Vulnerabilidades do NIST (NVD, na sigla em inglês), o repositório oficial mantido pelo governo dos Estados Unidos.
O pesquisador de segurança Jihyeon Jeong, do Compsec Lab da Universidade Nacional de Seul, foi creditado por descobrir e reportar a falha em 6 de agosto de 2026. O pesquisador recebeu uma recompensa de US$ 2.500 do programa de bug bounty (recompensa por relato de falhas de segurança) pela prática de disclosure responsável (comunicar a falha de forma privada para que seja corrigida antes da divulgação pública).
O Google reconheceu que está "ciente de que um exploit (código que se aproveita da vulnerabilidade) para a CVE-2026-87491 existe em circulação", mas não divulgou nenhuma informação adicional específica sobre como a falha está sendo utilizada em ataques no mundo real e quem está por trás deles.
"O acesso aos detalhes da falha e a links pode ser mantido restrito até que a maioria dos usuários seja atualizada com a correção", acrescentou a gigante de tecnologia. "Também manteremos restrições se a falha existir em uma biblioteca de terceiros da qual outros projetos dependam de forma semelhante, mas que ainda não tenha sido corrigida."
Com a atualização mais recente, o Google corrigiu um total de sete zero-days (vulnerabilidades exploradas antes de correção) do Chrome explorados ativamente desde o início do ano. Isso inclui as falhas CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 e CVE-2026-85046.
Além da CVE-2026-87491, a atualização mais recente também corrige cinco falhas de segurança críticas nos componentes WebGL (interface gráfica para renderização 2D e 3D na web) e Cast (protocolo de transmissão de mídia do Google):
- CVE-2026-87464 — Uso após liberação no WebGL
- CVE-2026-87488 — Uso após liberação no WebGL
- CVE-2026-87438 — Escrita fora dos limites no WebGL
- CVE-2026-87527 — Estouro de buffer (escrita além do espaço de memória alocado) no WebGL
- CVE-2026-87628 — Uso após liberação no Cast
O Google afirmou que reportou 195 das 230 falhas corrigidas na atualização. Uma falha de uso após liberação de alta severidade no WebPackaging (CVE-2026-87639) é creditada à equipe OpenAI Codex Security.
"Muitas das nossas falhas de segurança são detectadas usando o AddressSanitizer (sanitizer para erros de memória), MemorySanitizer (sanitizer para uso de memória não inicializada), UndefinedBehaviorSanitizer (sanitizer para comportamento indefinido), Control Flow Integrity (técnica de proteção de fluxo de controle), libFuzzer (ferramenta de teste por fuzzing, técnica que envia dados aleatórios para encontrar falhas) ou AFL (American Fuzzy Lop, ferramenta de fuzzing)", acrescentou a empresa.
Para obter a melhor proteção, os usuários são orientados a atualizar o navegador Chrome para as versões 153.0.8010.36/.37 no Windows e no macOS da Apple, e 153.0.8010.36 no Linux. Para garantir que as atualizações mais recentes estejam instaladas, os usuários podem acessar Mais > Ajuda > Sobre o Google Chrome e selecionar "Reiniciar".
Usuários de outros navegadores baseados no Chromium, o projeto de código aberto que dá origem ao Chrome, como Microsoft Edge, Brave, Opera e Vivaldi, também são orientados a aplicar as correções assim que estiverem disponíveis.
