CVE-2026-106234: Use-After-Free no componente Network do Google Chrome

Visão geral

O CVE-2026-106234 é uma vulnerabilidade de use-after-free (CWE-416) no componente Network do Google Chrome. Segundo o registro, um atacante remoto que use engenharia social e uma extensão do Chrome especialmente elaborada poderia potencialmente executar código arbitrário fora do sandbox. O rótulo de gravidade de segurança do Chromium é Baixa, enquanto a pontuação base CVSS 3.1 atribuída pelo CNA e pelo CISA-ADP é 9,6.

Impacto

O vetor CVSS 3.1 é CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, o que indica acesso pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
Os dados SSVC do registro indicam impacto técnico total, exploração ausente e não automatizável.
A execução de código fora do sandbox é descrita como resultado potencial, não como algo demonstrado.

Produtos e versões afetadas

Produto: Google Chrome.
A descrição identifica como afetadas as versões anteriores a 155.0.8059.39.
Os dados de versão afetada contêm uma segunda entrada, a partir de 155.0.8059.39 e anterior a 155.0.8059.39, que é internamente contraditória e não pode ser aplicada como está. Confirme o intervalo nas notas de versão do fornecedor.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa reportada por essa fonte. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00312 (percentil 0,22907) em 2026-10-23.

Remediação e mitigação

Atualize o Google Chrome para 155.0.8059.39 ou superior, versão que a descrição indica conter a correção.
Garanta que a atualização seja aplicada em todos os endpoints gerenciados, inclusive em navegadores que se atualizam por um canal separado.
Restrinja a instalação de extensões não revisadas por meio de políticas corporativas, já que o caminho de ataque descrito depende de extensão elaborada e engenharia social.
Consulte as notas de versão do canal estável do Chrome para detalhes por build.

Orientações de detecção

Inventarie as versões do Chrome instaladas e identifique as anteriores à release corrigida.
Revise as extensões instaladas em busca de itens desconhecidos ou recentes, especialmente os instalados após mensagens ou links não solicitados.
Monitore falhas inesperadas do navegador como indicador geral de problemas de segurança de memória; as fontes não trazem assinaturas específicas de detecção.

Limitações das informações disponíveis

O registro não possui campo de versão corrigida preenchido; a build corrigida foi extraída do texto da descrição.
O registro não descreve condições de exploração além do resumo, e não referencia prova de conceito pública.
As entradas conflitantes de versão afetada e a diferença entre o rótulo do fornecedor e a pontuação CVSS não são resolvidas pelas fontes disponíveis.
Não é possível saber, com os dados disponíveis, se existem outras builds corrigidas ou backports.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que este CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Portanto, não há exploração ativa reportada.

O que os administradores devem fazer?

Atualizar o Google Chrome para 155.0.8059.39 ou superior e restringir a instalação de extensões não revisadas por meio de políticas corporativas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.