CVE-2026-0906: Google Chrome para Android: falsificação da interface da Omnibox via HTML
A CVE-2026-0906 é uma falha de interface de segurança incorreta no Google Chrome para Android anterior à 144.0.7559.59, que permite a um invasor remoto falsificar o conteúdo da Omnibox (barra de URL) por meio de uma página HTML criada. O registro apresenta pontuação CVSS base de 9,8, enquanto a gravidade interna do Chromium é classificada como Baixa, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-0906 afeta o Google Chrome para Android anterior à 144.0.7559.59. O registro descreve uma falha de interface de segurança incorreta que permite a um invasor remoto falsificar a Omnibox (barra de URL) por meio de uma página HTML criada. A publicação ocorreu em 20/01/2026 pelo CNA do Chrome.
Impacto
- A falsificação da Omnibox pode induzir o usuário a erro sobre o site que está acessando, o que pode apoiar ataques de phishing e engenharia social.
- O registro informa pontuação CVSS base de 9,8, com vetor de rede, sem privilégios exigidos e sem interação do usuário, enquanto a gravidade interna do Chromium é Baixa.
- Os dados SSVC do registro indicam exploração como nenhuma e impacto técnico total. São avaliações do próprio registro, não evidência de exploração.
Produtos e versões afetadas
- Google Chrome para Android, anterior à 144.0.7559.59.
- O registro também cita 144.0.7559.60 e uma entrada de versão afetada internamente contraditória, por isso a faixa exata deve ser confirmada com o fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE segundo o registro. Nenhuma exploração confirmada em ambiente real aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Google Chrome para Android para uma versão igual ou superior à build corrigida confirmada nas notas de lançamento do fornecedor, tomando 144.0.7559.59 como limite indicado na descrição.
- Consulte o blog de lançamentos do Chrome para confirmar a build corrigida exata, pois o registro não traz lista de correções.
- Mantenha as atualizações automáticas ativas em dispositivos Android gerenciados e verifique as versões do navegador pela gestão de dispositivos.
Orientação de detecção
- Inventarie os dispositivos Android com Chrome e registre as versões, sinalizando builds anteriores à 144.0.7559.59.
- Incentive usuários a reportar conteúdo enganoso na barra de endereços e revise relatos de links suspeitos que levem a páginas desconhecidas.
Limitações das informações disponíveis
- O registro não tem título, lista de correções nem nome da CWE, embora a CWE-451 esteja atribuída.
- A data do EPSS (2026-10-23) é posterior à data de publicação, por isso os valores de EPSS devem ser usados com cautela.
- As entradas de versão afetada são contraditórias e o registro do rastreador de problemas é restrito, portanto seus detalhes são desconhecidos.
Perguntas frequentes
Quais versões do Chrome são afetadas pela CVE-2026-0906?
O registro descreve o Google Chrome para Android anterior à 144.0.7559.59 como afetado. As entradas de versão são parcialmente contraditórias, então confirme a faixa exata nas notas de lançamento do fornecedor.
A CVE-2026-0906 é explorada em ambiente real?
Segundo o registro, ela não está no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.