Uma vulnerabilidade crítica de dia zero no Chrome está a ser explorada em ataques informáticos, o que motivou o lançamento de uma atualização de emergência. A correção foi disponibilizada pela Google no âmbito de um pacote de segurança mais amplo que resolveu 230 vulnerabilidades no seu ecossistema. Trata-se da sétima falha "zero-day" corrigida no navegador desde o início do ano.
A vulnerabilidade, identificada com o código CVE-2026-87491, possui gravidade elevada e resulta de uma fragilidade de escrita fora dos limites ("out-of-bounds write") no motor JavaScript e WebAssembly V8. Atacantes remotos podem explorar esta falha através de páginas HTML concebidas para o efeito, conseguindo executar código arbitrário dentro do ambiente de isolamento ("sandbox") do navegador. A exploração bem-sucedida permite ainda aceder a dados na memória através de corrupção de "heap", o que expõe informação confidencial ou provoca o encerramento inesperado da aplicação.
Atualização já disponível para Windows, Mac e Linux
A falha foi reportada à empresa por Jihyeon Jeong, investigador estagiário no Compsec Lab da Universidade Nacional de Seul, apenas dois dias antes da publicação da correção. A tecnológica começou a distribuir as versões corrigidas 153.0.8010.36 para sistemas Windows e Linux, bem como a versão 153.0.8010.37 para macOS, através do canal estável para computadores de secretária.
A disponibilização da atualização pode demorar alguns dias ou semanas a alcançar a totalidade dos utilizadores, mas a verificação manual no menu de ajuda do Chrome permite aplicar a correção de imediato. Quem optar por não realizar o processo manual pode contar com a verificação automática do programa, que instala a versão mais recente na inicialização seguinte. Como é habitual em situações de exploração ativa, o acesso aos pormenores técnicos da falha permanece restrito até que a maioria dos utilizadores tenha o sistema protegido.
Escala de vulnerabilidades zero-day em 2026
A falha CVE-2026-87491 junta-se a um conjunto de outros problemas críticos resolvidos este ano no navegador. Em meados de fevereiro, a empresa corrigiu uma falha de invalidação de iterador na funcionalidade CSSFontFeatureValuesMap (CVE-2026-2441). Em março, foram lançadas correções para uma fragilidade de escrita na biblioteca gráfica 2D Skia (CVE-2026-3909) e para uma implementação inadequada no motor V8 (CVE-2026-3910). Em abril, foi resolvida uma vulnerabilidade "use-after-free" no componente Dawn (CVE-2026-5281), ligado ao padrão WebGPU, seguida de uma falha de confusão de tipos no V8 (CVE-2026-85046) corrigida no início deste mês.
Este volume de intervenções surge na sequência do ano passado, no qual a empresa corrigiu oito vulnerabilidades de dia zero exploradas ativamente em 2025. Muitas dessas falhas foram identificadas pelo Grupo de Análise de Ameaças (TAG) da empresa, encarregue de monitorizar ferramentas de exploração avançada e software de espionagem.
Nenhum comentário
Seja o primeiro!