CVE-2026-0907: Spoofing de interface na Split View do Google Chrome

Visão geral

A CVE-2026-0907 afeta o recurso Split View do Google Chrome. Segundo o registro, um tratamento incorreto de interface de segurança permitiu que um atacante remoto realizasse spoofing de interface por meio de uma página HTML criada. O projeto Chromium classifica a gravidade de segurança como baixa, enquanto a pontuação CVSS 3.1 base informada pelo CNA e pelo CISA-ADP é 9,8. A referência do fornecedor para a atualização do canal estável está em Chrome stable channel update.

Impacto

O registro descreve spoofing de interface, ou seja, uma página pode exibir conteúdo enganoso ao usuário.
O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica impacto alto em confidencialidade, integridade e disponibilidade. O registro não explica como o spoofing de interface leva a esses impactos, portanto essa leitura é uma inferência.
Os dados SSVC indicam impacto técnico total e automatizável como sim.

Produtos e versões afetados

Versões do Google Chrome anteriores a 144.0.7559.59 são descritas como afetadas.
Os dados de afetados também citam 144.0.7559.60 e uma entrada descrita como faixa que começa em 144.0.7559.59 e termina em 144.0.7559.59. Essas entradas são inconsistentes, e o registro não as esclarece.
Nenhuma versão corrigida é listada no registro. A ausência de uma entrada não significa que não exista correção; as notas de versão do fornecedor devem ser consultadas.

Status de exploração

O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA.
Não há exploração confirmada nas fontes consultadas.
O campo de exploração do SSVC é none. A probabilidade EPSS é 0,08815, com percentil de 0,95186, mas a data EPSS (2026-10-23) é posterior à data de publicação, então a confiabilidade deve ser verificada.

Correção e mitigação

Atualize o Google Chrome para uma versão posterior a 144.0.7559.59 pelos canais oficiais e confirme a build nas notas de versão do canal estável.
Enquanto a atualização não for aplicada, limite a navegação em páginas não confiáveis e desconfie de avisos ou conteúdos de interface inesperados.
Use políticas de atualização gerenciadas para garantir que todas as instalações de desktop recebam a correção.

Orientação para detecção

Faça o inventário das instalações do Chrome e registre suas versões, sinalizando qualquer build anterior a 144.0.7559.59.
Revise dados de gerenciamento de endpoints para navegadores que não foram reiniciados após a atualização, pois a atualização pode estar preparada mas não ativa.
Trate comportamentos inesperados de interface relatados por usuários como motivo para revisão, sem depender de uma assinatura específica.

Limitações das informações disponíveis

O registro não fornece nome para o CWE-451 e não traz detalhes técnicos da falha.
A entrada no rastreador de problemas do Chromium está marcada como exigindo permissões, então seus detalhes podem não estar acessíveis.
A versão corrigida não é informada diretamente no registro e deve ser confirmada com o fornecedor.
As entradas de versões afetadas contêm uma inconsistência que o registro não resolve.

Perguntas frequentes

O que a CVE-2026-0907 permite a um atacante fazer?

Segundo o registro, um atacante remoto pode realizar spoofing de interface na Split View do Google Chrome usando uma página HTML criada. O registro não descreve os detalhes técnicos da falha.

Quais versões do Chrome são afetadas?

A descrição indica que versões anteriores a 144.0.7559.59 são afetadas. Os dados de afetados também contêm uma entrada inconsistente para 144.0.7559.60, por isso as notas de versão do fornecedor devem ser conferidas.

Há exploração conhecida desta vulnerabilidade?

O registro mostra que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.