Chrome corrige falhas em massas sob ataque em seus servidores

A vulnerabilidade mais grave, identificada como CVE-2026-11645, afeta o V8, o mecanismo responsável por executar JavaScript e WebAssembly no Chrome — componentes essenciais para o funcionamento de sites modernos.

Leia mais:

Chrome com Gemini coloca IA no centro da navegação

O que é a falha CVE-2026-11645 no Chrome?

A CVE-2026-11645 é classificada como uma falha do tipo “out-of-bounds memory access”, ou seja, acesso fora dos limites da memória.

Na prática, isso significa que um código malicioso pode:

• Ler dados que não deveria acessar;
• Escrever informações em áreas protegidas da memória;
• Executar comandos arbitrários dentro do navegador.

Esse tipo de vulnerabilidade é considerado crítico porque pode permitir que invasores controlem parcialmente o comportamento do sistema por meio do navegador.

Como o ataque pode acontecer?

Para explorar a falha, o invasor precisa apenas:

1. Criar uma página HTML especialmente manipulada;
2. Induzir a vítima a acessar o site;
3. Executar automaticamente o código malicioso no navegador.

Não é necessário download de arquivos nem interação adicional do usuário, o que aumenta significativamente o risco.

A execução ocorre dentro do sandbox, mas o risco ainda é alto

O Google Chrome utiliza uma tecnologia chamada sandbox, que isola processos do navegador do restante do sistema operacional.

Essa camada de proteção reduz o impacto de ataques, impedindo que o código malicioso tenha acesso direto ao sistema completo.

No entanto, especialistas em segurança alertam que falhas dentro do V8 ainda são extremamente perigosas, pois podem ser combinadas com outras vulnerabilidades para escalar privilégios.

A falha recebeu nota 8,8 de 10 na escala CVSS (Common Vulnerability Scoring System), o que a classifica como alta severidade.

Exploração ativa confirma risco real para usuários

Segundo o próprio Google, já existem evidências de exploração ativa da CVE-2026-11645 em ataques reais.

Isso significa que a vulnerabilidade não é apenas teórica: ela já está sendo usada por agentes maliciosos antes mesmo de muitos usuários atualizarem seus navegadores.

Por esse motivo, o Google optou por não divulgar detalhes técnicos completos da falha, uma prática comum em casos de zero-day — vulnerabilidades exploradas antes da correção estar amplamente distribuída.

Pesquisador recebeu US$ 55 mil pela descoberta

A falha foi reportada ao Google em 27 de abril de 2026 pelo pesquisador de segurança conhecido como “303f06e3”.

Como parte do programa de recompensas por vulnerabilidades (bug bounty), o pesquisador recebeu US$ 55 mil pela descoberta responsável.

O que é divulgação responsável?

Esse modelo funciona da seguinte forma:

• O pesquisador identifica a falha;
• Informa diretamente a empresa afetada;
• Aguarda a correção ser desenvolvida;
• Só então a vulnerabilidade é divulgada publicamente.

Esse processo ajuda a reduzir o risco de exploração em larga escala antes da correção ser aplicada.

Google já soma cinco zero-days corrigidos em 2026

Com essa atualização, o Google chega a cinco vulnerabilidades do tipo zero-day corrigidas apenas em 2026.

Entre elas estão:

• CVE-2026-2441
• CVE-2026-3909
• CVE-2026-3910
• CVE-2026-5281
• CVE-2026-11645

O número reforça a complexidade crescente dos navegadores modernos e a necessidade de monitoramento contínuo de segurança.

Segundo dados amplamente divulgados por entidades de cibersegurança, navegadores como o Chrome estão entre os principais alvos de ataques justamente por serem a porta de entrada para serviços digitais, bancos, redes sociais e sistemas corporativos.

Como atualizar o Google Chrome e se proteger

A atualização de segurança já está sendo distribuída globalmente. Para instalar a correção manualmente, o usuário deve:

Passo a passo no Chrome

1. Abrir o navegador;
2. Clicar no menu de três pontos no canto superior direito;
3. Selecionar “Ajuda”;
4. Clicar em “Sobre o Google Chrome”;
5. Aguardar a verificação automática de atualização;
6. Reiniciar o navegador após a instalação.

Versões corrigidas

• Windows e macOS: versão 149.0.7827.103
• Linux: versão 149.0.7827.102

Manter o navegador atualizado é uma das práticas mais recomendadas por órgãos de segurança digital, como o CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil), que reforça constantemente a importância de aplicar patches de segurança rapidamente.

Outros navegadores também precisam de atualização

Como muitos navegadores são baseados no projeto Chromium, como:

• Microsoft Edge
• Brave
• Opera
• Vivaldi

eles também podem estar sujeitos às mesmas vulnerabilidades.

Essas plataformas geralmente liberam atualizações próprias logo após o Google corrigir o código-fonte base. Por isso, é fundamental verificar regularmente se há novas versões disponíveis.

Por que essas falhas são tão perigosas?

Vulnerabilidades no motor V8 são particularmente críticas porque afetam diretamente a execução de scripts em praticamente todos os sites modernos.

Isso significa que um único ataque bem-sucedido pode impactar:

• Acesso a contas online;
• Sessões de bancos digitais;
• Informações pessoais armazenadas no navegador;
• Dados corporativos em sistemas web.

Em ambientes corporativos no Brasil, onde o uso de ferramentas em nuvem é cada vez mais comum, esse tipo de falha representa um risco ainda maior.

Como se proteger além da atualização

Além de manter o Chrome atualizado, especialistas em segurança recomendam:

• Evitar clicar em links desconhecidos;
• Desconfiar de sites com aparência suspeita;
• Usar autenticação em dois fatores (2FA);
• Manter sistemas operacionais atualizados;
• Utilizar antivírus confiável.

Essas práticas ajudam a reduzir o impacto de possíveis ataques que explorem vulnerabilidades semelhantes.

Imagem: Reprodução