CVE-2026-106197: Use-after-free no Browser do Google Chrome
A CVE-2026-106197 é uma falha de use-after-free no componente Browser do Google Chrome anterior à 155.0.8059.39. Segundo o registro, um atacante remoto poderia acioná-la por meio de uma página HTML criada especialmente para executar código fora do sandbox do navegador. O registro atribui pontuação base CVSS 3.1 de 9,6, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-106197 é uma fragilidade de use-after-free (CWE-416) no componente Browser do Google Chrome. O registro descreve que ela afeta versões anteriores à 155.0.8059.39 e que pode ser acionada por meio de uma página HTML criada especialmente. A gravidade atribuída pelo próprio Chromium é Critical. Informações do fornecedor estão disponíveis na atualização do canal estável do Chrome Releases e no registro no rastreador de problemas do Chromium.
Impacto
- O registro descreve a execução de código arbitrário fora do sandbox do navegador por um atacante remoto.
- O vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, que indica acesso pela rede, baixa complexidade, ausência de privilégios exigidos, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. O registro informa pontuação base de 9,6.
- Os campos SSVC do registro indicam exploração como none e automatizável como no.
Produtos e versões afetadas
- Produto: Google Chrome (componente Browser).
- Versões: anteriores à 155.0.8059.39, conforme a descrição.
- Os dados de intervalo de afetação contêm uma segunda entrada com limites inferior e superior ambos em 155.0.8059.39, o que representa um intervalo vazio. Ela não deve ser lida como uma população afetada separada. O ponto de referência para planejamento é 155.0.8059.39.
Status de exploração
- O registro indica que a falha não consta no catálogo CISA KEV.
- Não há exploração confirmada na natureza nas fontes consultadas para este registro.
- A probabilidade EPSS no registro é 0,00454, com percentil de 0,38475.
Correção e mitigação
- Atualize o Google Chrome para a versão 155.0.8059.39 ou posterior. A descrição indica que esta versão é a primeira não afetada, por isso confirme a build instalada nas notas de versão do fornecedor.
- Priorize a atualização em estações que navegam com frequência em conteúdo web não confiável ou externo.
- Mantenha as atualizações automáticas habilitadas e acompanhe as notas de versão do fornecedor linkadas acima.
Orientações de detecção
- Faça o inventário das versões do Chrome instaladas no ambiente e sinalize qualquer build anterior à 155.0.8059.39.
- Use a telemetria de endpoints para revisar comportamentos incomuns de processos do navegador como sinal complementar, sem depender dela como controle principal.
Limitações das informações disponíveis
- O registro não fornece lista de versões corrigidas além do ponto de referência citado na descrição, nem detalhes técnicos do defeito fornecidos pelo fornecedor.
- O campo de correções do registro está vazio. Isso não significa que nenhuma correção exista.
- Detalhes de build específicos para Windows, macOS e Linux não constam no registro.
- A data do EPSS no registro é posterior à data de publicação, então os valores EPSS devem ser tratados como um retrato do momento da coleta.
Perguntas frequentes
A CVE-2026-106197 está sendo explorada ativamente?
O registro indica que a falha não consta no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas para este registro.
Quais versões do Chrome são afetadas?
Segundo a descrição, são afetadas as versões do Google Chrome anteriores à 155.0.8059.39. A atualização para a 155.0.8059.39 ou posterior é o passo recomendado.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.