Google Corrige Quinto Zero-Day do Chrome em 2026 com Ataque Ativo ao Motor V8

O Google distribuiu uma atualização de emergência para o Chrome com o objetivo de fechar uma vulnerabilidade de dia zero que já está na mira de criminosos digitais. A correção, lançada entre 8 e 9 de junho de 2026, resolve a falha CVE-2026-11645 — um bug de leitura e gravação fora dos limites (out-of-bounds) no motor JavaScript e WebAssembly V8 do Chrome — além de outros 73 problemas de segurança . Esta é a quinta vez neste ano que o Google precisa correr para lançar um patch para uma falha do Chrome sob exploração ativa.

Um Olhar Técnico Sobre a CVE-2026-11645

O problema central está no V8, o motor de alto desempenho que executa o JavaScript não apenas no Chrome, mas em diversos outros navegadores baseados no Chromium, como Microsoft Edge e Opera. A vulnerabilidade permite que um invasor remoto execute código arbitrário dentro da sandbox do navegador ao induzir a vítima a abrir uma página HTML maliciosa .

Com uma pontuação CVSS de 8.8, a falha é classificada como de "alta gravidade" . Embora o Google utilize a descrição padrão de que o bug permite "executar código arbitrariamente dentro de uma sandbox", primitivas de leitura e gravação fora dos limites como esta também tornam viáveis técnicas para contornar mecanismos de proteção como o ASLR (Aleatorização do Layout do Espaço de Endereçamento), abrindo caminho para comprometimentos mais profundos do sistema .

Detalhes da Correção e Cronograma

O patch de emergência foi lançado no canal Stable para desktop em 8 de junho de 2026, como parte de uma atualização maior que corrige 74 vulnerabilidades de uma só vez . O Google confirmou que já existe um exploit para a CVE-2026-11645 circulando na internet, o que torna esta uma atualização urgente e obrigatória para qualquer pessoa que use o Chrome no computador .

As versões que contêm a correção são:

• Windows e macOS: Chrome 149.0.7827.102 / 149.0.7827.103
• Linux: Chrome 149.0.7827.102

A atualização é distribuída gradualmente ao longo dos dias, mas você pode forçá-la acessando o menu do Chrome (três pontinhos) > Ajuda > Sobre o Google Chrome.

Recompensa por Bug

Um pesquisador de segurança anônimo, que usa o codinome "303f06e3", descobriu e reportou a vulnerabilidade ao Google em 27 de abril de 2026 . Pela descoberta, o Google pagou uma recompensa de US$ 55.000 (cerca de R$ 300 mil na cotação atual), um valor condizente com as faixas de premiação do Programa de Recompensas por Vulnerabilidades do Chrome para bugs de corrupção de memória de alto impacto no V8 .

O Cenário de Zero-Days do Chrome em 2026

Com a CVE-2026-11645, o Chrome já soma cinco vulnerabilidades de dia zero exploradas ativamente e corrigidas somente em 2026 . A lista completa até o momento mostra um ritmo acelerado de ataques:

• CVE-2026-2441 (Fevereiro de 2026): Uma falha de "use-after-free" no processamento de CSS do Chrome que permitia execução remota de código .
• CVE-2026-3909 (12 de Março de 2026): Vulnerabilidade de gravação fora dos limites na Skia, a biblioteca gráfica 2D responsável pela renderização de páginas no Chrome .
• CVE-2026-3910 (12 de Março de 2026): Bug de implementação inadequada no V8, também permitindo execução de código e corrigido na mesma leva que o anterior .
• CVE-2026-5281 (1 de Abril de 2026): Uma falha de "use-after-free" no Dawn, a implementação de WebGPU do Chrome, que foi adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas da CISA (Agência de Segurança Cibernética dos EUA) .
• CVE-2026-11645 (Junho de 2026): A falha de leitura/gravação no V8 detalhada aqui .

O Que Fazer Agora

O Chrome costuma se atualizar sozinho em segundo plano, mas a distribuição automática pode levar dias. Para se proteger imediatamente, abra o Chrome, clique no menu de três pontos no canto superior direito, selecione Ajuda > Sobre o Google Chrome e permita que o navegador busque e aplique a atualização. O número da versão deve ser 149.0.7827.102 ou superior no Windows e Linux, e 149.0.7827.103 ou superior no macOS .

Para times de TI que gerenciam implantações do Chrome, a recomendação é verificar se todos os computadores estão recebendo a versão mais recente e acelerar os cronogramas de atualização para este patch fora de banda. O status de exploração ativa confirmada significa que qualquer sistema rodando uma versão desatualizada segue exposto a ataques reais.