Google corrige zero-day do Chrome explorado em ataques

O Google publicou na quinta-feira, 3 de setembro de 2026, uma atualização do canal estável do Chrome que corrige doze falhas de segurança. Uma delas, a CVE-2026-85046, já vinha sendo explorada em ataques reais antes de existir correção disponível — o que a caracteriza como uma vulnerabilidade de dia zero, ou zero-day.

A falha está no V8, o motor de JavaScript e WebAssembly que o Chrome usa para executar o código das páginas que você visita. Segundo o próprio aviso da empresa, o Google tem conhecimento de que existe um exploit para a CVE-2026-85046 em circulação. A companhia não divulgou detalhes técnicos nem indicadores do ataque, prática padrão para dar tempo aos usuários e aos projetos que dependem do Chromium de aplicarem a correção antes que o mecanismo do ataque se torne público.

No dia seguinte, 4 de setembro, a agência norte-americana CISA incluiu a falha no catálogo de vulnerabilidades exploradas conhecidas (KEV) e estabeleceu 18 de setembro de 2026 como prazo para que órgãos federais dos Estados Unidos apliquem o patch. Essa inclusão é uma confirmação independente de que a exploração é real, e não apenas teórica.

O que é uma confusão de tipos no motor V8

Uma vulnerabilidade de confusão de tipos (CWE-843, a classificação atribuída pela CISA) acontece quando um programa trata uma região de memória como se ela contivesse um tipo de objeto, quando na verdade ela contém outro. O V8 é um compilador otimizador: para ganhar velocidade, ele assume premissas sobre os tipos de dados que o código vai manipular e gera código de máquina baseado nessas premissas. Quando uma dessas premissas pode ser quebrada por uma página cuidadosamente construída, o motor passa a ler e escrever memória fora do formato esperado.

Na prática, isso permite corromper estruturas internas do navegador. O texto do NVD descreve o efeito de forma direta: a falha permitia a um atacante remoto executar código arbitrário dentro do sandbox por meio de uma página HTML manipulada. A palavra decisiva aí é sandbox.

O Chrome executa o código das páginas em um processo isolado, o renderizador, que roda com privilégios reduzidos e sem acesso direto ao sistema de arquivos ou ao restante da máquina. A CVE-2026-85046 concede execução de código dentro desse compartimento. Para chegar ao sistema operacional, um atacante precisaria encadear a falha com uma segunda vulnerabilidade que permita escapar do sandbox. O Google não informou se isso ocorreu nos ataques observados, e não há, até o momento, evidência pública de que exista uma cadeia completa em uso.

Gravidade e vetor de ataque do zero-day do Chrome

O NVD ainda não publicou sua própria avaliação. A nota disponível vem da CISA-ADP, que atribuiu CVSS 3.1 de 8,8 (alta), com o vetor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Vale destrinchar dois componentes desse vetor, porque eles delimitam o risco real:

• UI:R — é exigida interação do usuário. O ataque não acontece sozinho: alguém precisa visitar uma página maliciosa, o que normalmente envolve um link enviado por mensagem, e-mail ou anúncio, ou um site legítimo comprometido.
• S:U — não há mudança de escopo. O impacto permanece dentro do componente afetado, coerente com a descrição de execução restrita ao sandbox.

Os demais campos indicam que o ataque é remoto pela rede (AV:N), de baixa complexidade (AC:L), não requer privilégios prévios (PR:N) e compromete integralmente confidencialidade, integridade e disponibilidade daquilo que está ao seu alcance (C:H/I:H/A:H).

As doze correções desta versão

A atualização leva o Chrome às versões 152.0.7977.82/.83 no Windows e no macOS e 152.0.7977.82 no Linux, com distribuição gradual. As versões para Android trazem as mesmas correções de segurança. Além da falha explorada, o pacote inclui outras nove de severidade alta e duas de severidade média:

Dois detalhes do boletim merecem registro. O primeiro é cronológico: a CVE-2026-85046 foi reportada ao Google em 4 de agosto de 2026 pelo pesquisador Salvatore Gulizia, conhecido pelo apelido Serotav — ou seja, cerca de um mês antes de a correção chegar aos usuários. O aviso não esclarece se a exploração em circulação foi detectada antes ou depois desse relato, e essa informação permanece desconhecida.

O segundo é quem assina outra das falhas. A condição de corrida no V8 (CVE-2026-85045) foi reportada por Brendan Dolan-Gavitt, da XBOW, empresa que desenvolve sistemas ofensivos automatizados apoiados em modelos de linguagem. A presença de pesquisa assistida por IA entre os créditos de um boletim do Chrome é um sinal concreto de como essas ferramentas já se incorporaram ao trabalho de descoberta de vulnerabilidades — do lado defensivo, neste caso.

Quem mais é afetado

O Chromium é a base de Microsoft Edge, Brave, Opera, Vivaldi e diversos outros navegadores. A própria descrição da CISA registra que a falha pode afetar múltiplos navegadores que utilizam o Chromium. Esses projetos precisam incorporar a correção a montante e publicar suas próprias versões, o que costuma levar alguns dias a mais. Até que isso aconteça, usuários desses navegadores permanecem expostos mesmo tendo o Chrome atualizado em outra máquina.

O alcance também se estende a aplicações que embutem o Chromium — clientes de desktop construídos sobre Electron, por exemplo, e componentes WebView em sistemas móveis. O ciclo de atualização desses componentes é menos visível e geralmente mais lento, e vale a pena inventariá-los em ambientes corporativos.

Recomendações práticas

• Atualize e reinicie. No Chrome, vá em Configurações > Sobre o Google Chrome e aguarde a verificação. A correção só passa a valer após o reinício do navegador — deixar a janela aberta por dias anula o efeito do patch.
• Não espere a distribuição gradual. Abrir a tela “Sobre” normalmente antecipa a entrega da atualização.
• Verifique os navegadores derivados. Confira se Edge, Brave, Opera ou Vivaldi já publicaram versão com a correção do Chromium antes de considerar o parque atualizado.
• Em ambientes gerenciados, use as políticas de atualização para forçar a versão mínima e monitore a conformidade. A referência é 152.0.7977.82 ou superior.
• Mapeie aplicações com Chromium embarcado (Electron, WebView) e acompanhe os avisos de cada fornecedor.
• Acompanhe o aviso oficial. O Google deve liberar os detalhes do bug quando a maioria dos usuários estiver atualizada; até lá, desconfie de análises técnicas detalhadas que circulem sem fonte.

O que observar a seguir

Esta é a sexta falha do Chrome explorada ativamente e corrigida em 2026, segundo o levantamento do BleepingComputer, que lista entre as anteriores a CVE-2026-11645 (V8, junho), a CVE-2026-2441 (fevereiro), as CVE-2026-3909 e CVE-2026-3910 (março) e a CVE-2026-5281 (Dawn/WebGPU, abril). Metade delas está no V8, o que confirma o motor de JavaScript como a superfície de ataque mais visada do navegador — consequência direta de sua complexidade e das otimizações agressivas que ele faz.

Três pontos permanecem em aberto e devem ser acompanhados: se surgirá uma prova de conceito pública após a liberação dos detalhes do bug, o que tende a ampliar rapidamente o volume de exploração; se a CVE-2026-85046 foi usada isoladamente ou como parte de uma cadeia com escape de sandbox; e quem está por trás dos ataques, já que até agora não há atribuição nem indicadores divulgados. No registro da CISA, o campo de uso em campanhas de ransomware está marcado como desconhecido.

Fontes e referências

• Chrome Releases (Google) — Stable Channel Update for Desktop, 3 de setembro de 2026
• NVD / NIST — CVE-2026-85046
• CISA — Known Exploited Vulnerabilities Catalog
• BleepingComputer, por Bill Toulas — Google warns of new Chrome zero-day flaw exploited in attacks