Google corrige nove vulnerabilidades no Chrome; CVE-2026-125350 já explorada

O Google publicou na segunda-feira atualizações de segurança para o navegador Chrome que corrigem nove vulnerabilidades, incluindo uma falha de alta gravidade que a empresa confirma está sendo explorada ativamente em ambientes reais. O erro recebido como CVE-2026-125350 foi descrito pelo Google como um erro de tipouse-after-freeNo componente XML do navegador; um pesquisador anônimo avisou do problema em 6 de novembro de 2026 e o Google declara estar “tanto que existe um exploit para CVE-2026-125350 na natureza”. As versões do Chrome que corrigem o problema são 157.0.8103.50/.51 para Windows e macOS, e 157.0.8103.50 para Linux. (Para atualizar, abra Mais > Ajuda > Acerca do Google Chrome e selecione Relanzar).

O que sabemos com certeza: Google lançou adesivos que resolvem nove falhas; um deles, CVE-2026-125350, é um use-after-free no código que processa XML e está sendo explorado na natureza segundo a própria empresa. A descoberta foi relatada por um pesquisador anônimo em 6 de novembro de 2026 e o Google aplica a prática habitual de restringir detalhes técnicos até que a maioria dos usuários tenham recebido o arranjo. Além disso, a empresa indica que este é um mais dentro de uma série de vulnerabilidades exploradas em 2026; desde o início do ano, diminuiu oito zero-dias ativamente explorados, com CVE listadas publicamente pelo Google.

O que significa tecnicamente uma utilização-after-free em XML: umuse-after-freeocorre quando o programa acede à memória que já foi libertada; o resultado típico é comportamento imprevisível que pode resultar em quedas (crash), corrupção de dados ou execução arbitrária de código se um atacante conseguir controlar o conteúdo dessa memória. Neste caso, a falha está no processamento de XML, sugerindo que os vetores plausível incluem documentos XML malformados, payloads embebidos em páginas web que usam parsers XML, ou conteúdos manipulados por extensões ou componentes que passam dados XML para o motor vulnerável. No entanto, o Google não publicou o mecanismo exato de exploração ou amostras, pelo que o vetor preciso empregado nos ataques ativos não está confirmado publicamente.

Consequências práticas: se um atacante explora com sucesso esta vulnerabilidade em um sistema sem adesivo, pode escalar desde a execução de código dentro do processo Chrome até potencialmente executar código com os privilégios do usuário que executa o navegador. No melhor dos casos, o resultado é uma falha do processo e perda da página ou sessão; no pior, uma equipe comprometida, perda de dados ou ponte para outras invasões no ambiente do usuário. Como o Google já reconheceu exploração ativa, o risco para usuários que não atualizem é imediato.

O que não está confirmado: a assinatura por trás dos ataques, a escala da campanha (número de vítimas), e o vetor de entrega exato (por exemplo, sitos maliciosos vs documentos anexos) não foram divulgados pelo Google. A empresa também adverte que manterá restrições de divulgação se a vulnerabilidade reside numa livraria de terceiros que outros projetos ainda não resolveram; essa dependência externa, se existe, não foi especificada publicamente. Portanto, qualquer afirmação sobre a atribuição ou a técnica concreta usada em “a natureza” seria por agora uma estimativa.

Para contrastar e seguir avisos oficiais sobre adesivos e detalhes técnicos, você pode consultar as comunicações do Google sobre lançamentos e segurança no blog do Chrome Releases e a documentação de suporte sobre como atualizar o navegador: https://chromereleases.googleblog.com/ e https://support.google.com/chrome/answer/95414. Também é recomendável monitorar o NVD para futuras entradas de CVE: https://nvd.nist.gov/.

Recomendações concretas para usuários particulares: primeiro, atualize o Chrome imediatamente à versão estável indicada (abra Mais > Ajuda > Acerca do Google Chrome e deixe o navegador relance). Verifique a versão instalada em chrome://version. Segundo, depois de atualizar, reinicie o sistema se o processo de instalação o solicitar. Terceiro, active a atualização automática se você não estiver habilitado e considere ativar a proteção melhorada no Chrome (Configuração > Privacidade e segurança > Serviços do Google) para obter alertas mais precoces sobre downloads e sites perigosos. Quarto, limite a exposição: evite baixar ou abrir documentos XML ou arquivos desconhecidos e mantenha as extensões ao mínimo, revisando permissões e origem de cada uma.

Recomendações para administradores e equipamentos de segurança: implantação do adesivo em todos os equipamentos gerenciados o mais rapidamente possível usando suas ferramentas de gestão de adesivos e políticas da Chrome Enterprise. Valide a atualização em ambientes de teste antes da implantação massiva, mas priorize a aceleração do rolout dado o estado de exploração ativa. Refuerce controlos compensatórios: aplique isolamento de sites (site isolation), políticas de bloqueio de extensões não aprovadas e filtros de bloqueio de conteúdo/IPS que possam detectar cargas maliciosas. Revise registros EDR/IDS para identificar atividade suspeita nos dias anteriores e posteriores ao adesivo e prepare regras de detecção para padrões de exploração comuns (por exemplo, cargas XML incomuns a processos do navegador).

Finalmente, lembre-se que a cadeia de abastecimento importa: se a sua organização usa navegadores derivados de Chromium (Microsoft Edge, Brave, Opera, Vivaldi, etc.), deve estar atenta aos avisos e adesivos que esses fornecedores publiquem; por vezes o arranjo chega com atraso em relação ao Chrome. O Google lembrou explicitamente que navegadores baseados em Chromium também devem aplicar correções quando disponíveis.

Em suma, a falha CVE-2026-125350 é um risco real e presente — confirmado pelo Google como explorado —; a defesa imediata é aplicar a atualização difundida pelo Chrome e tomar medidas de mitigação adicionais em ambientes de alto risco até que a telemetria e as análises forenses confirmem que não há infecção. Fique atento a comunicados oficiais e à publicação de indicadores de compromisso por parte de fornecedores e equipamentos de resposta.