CVE-2026-0905: Google Chrome: falha de aplicação de política na rede expõe dados sensíveis em logs de rede
A CVE-2026-0905 é uma falha de aplicação insuficiente de política no componente Network do Google Chrome anterior a 144.0.7559.59. Segundo o registro, quem obtiver um arquivo de log de rede pode potencialmente acessar informações sensíveis contidas nele. O CNA e o CISA-ADP informam pontuação CVSS 9.8, enquanto a severidade de segurança do Chromium é classificada como Média.
Visão geral
A CVE-2026-0905 afeta compilações do Google Chrome anteriores a 144.0.7559.59, nas quais a aplicação insuficiente de política no componente Network pode permitir que quem tenha obtido um arquivo de log de rede acesse informações potencialmente sensíveis. O registro classifica a fraqueza como CWE-200, Exposição de Informações Sensíveis. As notas de versão do fornecedor são o principal aviso citado no registro.
Impacto
- Confidencialidade: possível exposição de dados sensíveis contidos em arquivos de log de rede.
- A pontuação CVSS 9.8 informada pelo CNA e pelo CISA-ADP corresponde à classificação crítica. Trata-se de uma avaliação de pontuação, não de uma consequência demonstrada.
- A severidade de segurança do Chromium é Média, o que difere da classificação crítica do CVSS. O registro não explica essa diferença.
Produtos e versões afetadas
- Produto: Google Chrome.
- A descrição identifica como afetadas as compilações anteriores a 144.0.7559.59.
- O registro lista 144.0.7559.59 e 144.0.7559.60 como strings de versão permitidas, mas suas entradas de intervalo afetado são inconsistentes. Uma delas descreve um intervalo que não corresponde a nenhuma compilação.
- Recomenda-se verificar as compilações instaladas nas notas de versão do fornecedor, e não depender de um único intervalo.
Status de exploração
- O registro não indica que esta vulnerabilidade esteja no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é 0,00248, com percentil de 0,15164. Trata-se de uma estimativa estatística de probabilidade de exploração, não de evidência de uso.
- Os campos SSVC do registro indicam exploração como none e automatizável como yes.
Correção e mitigação
- Atualize o Google Chrome para 144.0.7559.59 ou superior pelo canal oficial do fornecedor.
- O registro não contém uma entrada estruturada de correção, por isso o limite de versão corrigida foi extraído da descrição e das notas de versão do fornecedor.
- Restrinja o acesso aos arquivos de log de rede, trate-os como dados sensíveis e limite a retenção quando não forem necessários.
Orientações de detecção
- Inventarie as instalações do Chrome e seus números de compilação para identificar hosts com versões anteriores a 144.0.7559.59.
- Monitore acessos, cópias ou compartilhamentos inesperados de arquivos de log de rede do navegador.
- Revise os registros de acesso dos repositórios onde esses logs são armazenados.
Limitações das informações disponíveis
- O registro não fornece detalhes técnicos da falha nem evidências de exploração.
- As entradas de intervalo afetado contêm uma condição inconsistente.
- O campo de data do EPSS no registro não coincide com a data de publicação e deve ser interpretado com cautela.
- O registro não explica por que a severidade do Chromium difere da classificação CVSS.
Perguntas frequentes
Quais versões do Chrome são afetadas pela CVE-2026-0905?
A descrição identifica como afetadas as compilações do Google Chrome anteriores a 144.0.7559.59. As entradas de intervalo afetado do registro são inconsistentes, por isso vale consultar as notas de versão do fornecedor.
A CVE-2026-0905 é explorada na prática?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.