CVE-2026-106237: Vazamento de Informações em Permissions no Google Chrome com Contorno de Site Isolation
A CVE-2026-106237 é um vazamento de informações no componente Permissions do Google Chrome anterior à versão 155.0.8059.39. Segundo o registro, um atacante remoto pode contornar o site isolation por meio de uma página HTML elaborada. A pontuação CVSS de 9.6 (Crítica) atribuída pelo NVD e outros provedores contrasta com a classificação Baixa dada pelo próprio Chromium, e não há listagem no KEV nem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-106237 está registrada como um vazamento de informações no recurso Permissions do Google Chrome. O registro afirma que um atacante remoto pode contornar o site isolation por meio de uma página HTML elaborada. O Chromium classifica a gravidade de segurança como Baixa, enquanto a pontuação CVSS atribuída pelo NVD é 9.6.
Impacto
- A classificação CWE é CWE-200, Exposição de Informações Sensíveis.
- O vetor CVSS indica alto impacto na confidencialidade, alto impacto na integridade e baixo impacto na disponibilidade.
- O vetor também indica que nenhum privilégio é exigido e que é necessária interação do usuário.
Produtos e versões afetadas
- O produto afetado no registro é o Google Chrome.
- O registro descreve a faixa afetada como anterior à 155.0.8059.39.
- O registro contém uma segunda entrada de faixa que começa em 155.0.8059.39 e termina antes de 155.0.8059.39, o que resulta em faixa vazia. Isso é tratado como inconsistência dos dados e não como faixa afetada separada.
- A lista de correções do registro está vazia. A descrição sugere que 155.0.8059.39 é a primeira build não afetada, o que é uma inferência.
Status de exploração
- O registro indica que esta CVE não está listada no catálogo KEV da CISA.
- Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
- A probabilidade EPSS é 0.00246, com percentil de 0.15022, datada de 2026-10-23.
- Os campos SSVC do registro indicam exploração como none e automatizável como no.
Correção e mitigação
- Atualize o Google Chrome para 155.0.8059.39 ou posterior, que é o limite indicado na descrição.
- Confirme a atualização nas notas de versão do canal estável do Chrome.
- Quando as atualizações forem postergadas, mantenha os navegadores em canais de atualização gerenciados e revise as configurações de permissões de sites conforme a política da organização. As fontes não descrevem medidas paliativas específicas.
Orientação para detecção
- Faça o inventário das instalações do Chrome e registre as versões para localizar builds anteriores à 155.0.8059.39.
- Use ferramentas de gerenciamento de endpoints para confirmar que as atualizações do navegador foram implantadas em todo o parque.
- As fontes não descrevem indicadores de comprometimento, portanto a detecção neste nível depende do inventário de versões e da telemetria de atualização.
Limitações das informações disponíveis
- O registro não traz uma lista de builds corrigidas fornecida pelo fabricante além do limite indicado na descrição.
- A faixa afetada no registro contém uma segunda entrada inconsistente.
- O registro não descreve a mecânica técnica do problema, e esta análise não a fornece.
- A entrada no rastreador de problemas do Chromium é referenciada, mas seu conteúdo não fez parte do registro.
Perguntas frequentes
A CVE-2026-106237 está sendo explorada ativamente?
O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Qual versão do Chrome devo usar para corrigir esta CVE?
O registro descreve a faixa afetada como anterior à 155.0.8059.39. Atualize para 155.0.8059.39 ou posterior e confirme a mudança nas notas de versão estáveis do Chrome.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.