CVE-2026-106227: Use-after-free no componente Core do Google Chrome (CWE-416)

Visão geral

Este registro descreve uma falha de use-after-free (CWE-416) no componente Core do Google Chrome. Segundo a descrição, a falha pode ser acionada por meio de uma página HTML especialmente elaborada e permite que um atacante remoto execute código arbitrário fora do sandbox. A gravidade de segurança do Chromium está classificada como Alta. A nota de versão do fornecedor consta entre as referências.

Impacto

A descrição indica que um atacante remoto poderia executar código arbitrário fora do sandbox.
A pontuação CVSS base de 9.6 é informada pela CNA e pela CISA-ADP, com o mesmo valor. O vetor do registro indica vetor de ataque pela rede, baixa complexidade, necessidade de interação do usuário, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.
Os campos SSVC do registro indicam impacto técnico total, exploração como none e automatizável como no.

Produtos e versões afetadas

A descrição identifica como afetado o Google Chrome anterior a 155.0.8059.39.
O registro lista duas faixas de versões afetadas. A segunda faixa é internamente inconsistente (de 155.0.8059.39 e anterior a 155.0.8059.39), por isso deve ser verificada com as notas de versão do fornecedor.
Não há campo separado de versão corrigida preenchido no registro. A nota de versão do fornecedor é a principal referência para confirmar a correção.

Status de exploração

O CVE não consta no catálogo KEV da CISA no registro. Não há exploração confirmada no ambiente real nas fontes consultadas. A EPSS informa probabilidade de 0.00423 com percentil de 0.35603, datada de 2026-10-23. O SSVC marca a exploração como none e a automatização como no.

Correção e mitigação

Atualize o Google Chrome para 155.0.8059.39 ou posterior, usando o mecanismo de atualização do próprio navegador ou a versão do canal estável descrita pelo fornecedor.
Em ambientes gerenciados, confirme que todas as instalações receberam a atualização do canal estável e verifique o inventário de versões nas estações.
Consulte a nota de versão do fornecedor e a entrada no rastreador de problemas do Chromium para detalhes da correção.

Orientações de detecção

Faça o inventário das instalações do Chrome e registre as versões para identificar hosts com versões anteriores a 155.0.8059.39.
Monitore os endpoints quanto a comportamentos inesperados do navegador, em nível geral. As fontes consultadas não trazem indicadores de comprometimento específicos.

Limitações das informações disponíveis

O campo de título do registro está vazio, por isso os títulos foram definidos a partir do CWE e do produto.
Não há campo separado de versão corrigida nem identificador de patch além da nota de versão do fornecedor.
As faixas de versões afetadas apresentam a inconsistência mencionada acima.
Só há pontuações CVSS da CNA e da CISA-ADP, e elas coincidem.
As referências fornecidas não incluem detalhes técnicos da causa raiz, e esta análise não descreve passos de exploração.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O CVE não consta na lista KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.

Quais versões do Chrome são afetadas?

A descrição identifica como afetadas as versões anteriores a 155.0.8059.39. Verifique a faixa com a nota de versão do fornecedor, pois a segunda faixa do registro é inconsistente.

O que os administradores devem fazer?

Atualize o Google Chrome para 155.0.8059.39 ou posterior e confirme que as instalações gerenciadas receberam a atualização do canal estável.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.