A vulnerabilidade zero-day no Chrome identificada como CVE-2026-87491 já está sendo explorada em ataques reais, segundo o Google. A falha afeta o motor V8, responsável pela execução de JavaScript e WebAssembly no navegador, e pode permitir que um atacante remoto execute código arbitrário dentro do sandbox do Chrome por meio de uma página HTML especialmente criada.
O alerta merece atenção porque não se trata apenas de uma vulnerabilidade recém-descoberta. O Google confirmou que existe um exploit ativo na internet, enquanto os detalhes técnicos permanecem parcialmente restritos para dificultar a criação de novas variantes de ataque antes que a maioria dos usuários receba a correção.
A atualização Chrome 153 corrige o problema no Linux, Windows e macOS, além de incluir outras correções importantes. No total, o pacote aborda 230 vulnerabilidades de segurança, incluindo cinco falhas classificadas como críticas nos componentes WebGL e Cast.
Vulnerabilidade zero-day no Chrome coloca o motor V8 em alerta
A CVE-2026-87491 é classificada tecnicamente como uma falha de escrita fora dos limites, ou out-of-bounds write, no V8. O problema recebeu a identificação CWE-787 e, embora a classificação de segurança do Chromium seja Medium, bancos de dados como o NVD registram impacto elevado quando considerado o potencial de execução de código.
Na prática, uma página HTML maliciosa pode explorar o comportamento incorreto de memória para provocar corrupção de dados e, em determinadas condições, executar código arbitrário dentro do ambiente isolado do navegador.
É importante destacar uma diferença técnica: a documentação disponível indica execução de código dentro do sandbox, e não que a falha, por si só, represente automaticamente uma fuga completa do sandbox. Entretanto, uma vulnerabilidade desse tipo pode se tornar parte de uma cadeia de exploração mais ampla, principalmente quando combinada com outras falhas.
O problema afeta versões do Chrome anteriores às correções 153.0.8010.36, no Linux, e 153.0.8010.36/.37, dependendo da plataforma Windows ou macOS.
Descoberta e recompensa por divulgação responsável
A falha foi reportada em 6 de agosto de 2026 por Jihyeon Jeong, pesquisadora do Compsec Lab da Seoul National University, que também atua como estagiária de pesquisa. O programa de recompensas do Chromium concedeu US$ 2.500 pela descoberta.
O Google, por sua vez, adotou uma postura restritiva em relação aos detalhes técnicos. O fabricante informou que informações sobre o bug e seus links podem permanecer limitadas até que a maioria dos usuários esteja protegida.
Essa estratégia é particularmente relevante em casos de zero-day explorado ativamente, pois a divulgação imediata de detalhes sobre a causa e o método de exploração poderia facilitar ataques contra sistemas ainda vulneráveis.
Histórico de zero-days no Chrome em 2026
A CVE-2026-87491 é a sétima vulnerabilidade zero-day do Chrome explorada ativamente que o Google corrigiu em 2026.
O histórico inclui CVE-2026-2441, corrigida em fevereiro; CVE-2026-3909 e CVE-2026-3910, corrigidas em março; CVE-2026-5281, em abril; CVE-2026-11645, em junho; e CVE-2026-85046, corrigida pouco antes da nova falha no V8.
A sequência mostra por que uma vulnerabilidade zero-day no Chrome deve ser tratada como prioridade mesmo quando sua classificação técnica inicial não aparece como crítica.
Para administradores, o cenário também reforça a necessidade de políticas de atualização automática, inventário de versões e monitoramento dos navegadores instalados nas estações de trabalho.
Correções críticas no WebGL e Cast ampliam a importância da atualização
A nova versão do navegador não corrige apenas a falha no V8. O Chrome 153 também elimina cinco vulnerabilidades classificadas como críticas em componentes relacionados à renderização gráfica e ao ecossistema de transmissão de conteúdo.
Entre elas estão:
- CVE-2026-87464: use-after-free no WebGL.
- CVE-2026-87488: use-after-free no WebGL.
- CVE-2026-87438: escrita fora dos limites no WebGL.
- CVE-2026-87527: buffer overflow no WebGL.
- CVE-2026-87628: use-after-free no Cast.
As falhas use-after-free podem ocorrer quando um programa continua utilizando uma região de memória depois que ela já foi liberada. Dependendo do contexto, esse tipo de erro pode provocar corrupção de memória e abrir caminho para execução de código.
Já problemas de buffer overflow e escrita fora dos limites também merecem atenção porque envolvem operações que ultrapassam regiões de memória previstas pelo software.
O WebGL merece destaque por estar diretamente relacionado à renderização gráfica acelerada por hardware. Isso faz com que vulnerabilidades nesse componente sejam especialmente relevantes para navegadores modernos que utilizam recursos gráficos complexos.
O conjunto de correções demonstra que a atualização não deve ser encarada apenas como um simples patch para a falha zero-day do Chrome. Trata-se de uma atualização ampla de segurança que reduz múltiplas superfícies de ataque.
Como atualizar o Chrome e reduzir o risco imediatamente
A recomendação principal para usuários de Linux, Windows e macOS é simples: atualize o navegador imediatamente e reinicie o Chrome.
No Chrome para desktop, abra o menu de três pontos, entre em Ajuda > Sobre o Google Chrome e aguarde a verificação de atualização. Caso uma nova versão esteja disponível, permita que o navegador faça o download e clique em Reiniciar quando solicitado.
No Linux, usuários que instalaram o Chrome pelos repositórios oficiais também devem verificar se o gerenciador de pacotes está recebendo as atualizações normalmente. Em ambientes corporativos, administradores devem confirmar a distribuição da versão corrigida em todas as máquinas.
No Windows, confirme se o navegador chegou à versão 153.0.8010.36 ou posterior. No macOS, a versão corrigida disponibilizada pelo Google é 153.0.8010.37 ou posterior. Para Linux, a correção está presente a partir da 153.0.8010.36.
Usuários de Microsoft Edge, Brave, Vivaldi e outros navegadores baseados no Chromium também devem procurar atualizações. O fato de uma vulnerabilidade existir no Chromium não significa que todos esses navegadores recebam exatamente o mesmo pacote ou ao mesmo tempo. Cada fabricante precisa incorporar e distribuir suas próprias correções.
Para profissionais de TI, o ideal é tratar essa atualização como prioridade de segurança, principalmente em computadores que acessam serviços corporativos, sistemas financeiros, ambientes administrativos ou informações sensíveis.
A vulnerabilidade zero-day no Chrome já possui exploração confirmada. Portanto, esperar a próxima atualização programada ou adiar a reinicialização do navegador aumenta desnecessariamente a janela de exposição.
Verifique agora a versão instalada do seu navegador, aplique a atualização disponível e reinicie o sistema quando necessário. Em ambientes corporativos, confirme também se navegadores derivados do Chromium receberam suas respectivas correções.
A rapidez da resposta é especialmente importante porque o Google ainda mantém parte dos detalhes técnicos sob restrição justamente para reduzir o risco enquanto a distribuição do patch continua.
Se você utiliza Chrome ou outro navegador baseado no Chromium, não deixe essa atualização para depois. Compartilhe este alerta com outros usuários e equipes de TI para reduzir a quantidade de sistemas vulneráveis enquanto a correção é distribuída.
