CVE-2026-106239: Estouro de inteiro em WebGL no Google Chrome para Android
A CVE-2026-106239 é um estouro de inteiro (CWE-190) no WebGL do Google Chrome para Android. Segundo a descrição, um atacante remoto poderia potencialmente executar código arbitrário fora do sandbox por meio de uma página HTML criada. A pontuação CVSS base é 9.6 e o registro classifica a falha como crítica, mas o CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-106239 descreve um estouro de inteiro (CWE-190) no WebGL do Google Chrome para Android. A descrição indica que um atacante remoto poderia, potencialmente, usar uma página HTML criada para executar código arbitrário fora do sandbox do navegador. O registro foi publicado em 2026-10-06 pela CNA do Chrome e marca a gravidade de segurança do Chromium como Alta.
Impacto
- A descrição aponta para a possibilidade de execução de código arbitrário fora do sandbox.
- O vetor CVSS do registro indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária e escopo alterado, com alto impacto em confidencialidade, integridade e disponibilidade.
- O impacto real depende de a vítima ser levada a carregar uma página maliciosa. Esta é uma inferência a partir da métrica de interação do usuário.
Produtos e versões afetadas
- A descrição identifica o Google Chrome para Android anterior a 155.0.8059.39.
- A lista estruturada de afetados é inconsistente: uma de suas duas entradas descreve um intervalo vazio, por isso não oferece um intervalo de versões claro.
- O campo de correções está vazio. O limite de correção usado aqui vem da descrição, não de uma entrada de correção separada.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O valor de exploração no SSVC é none e o valor de automatização é no. A probabilidade EPSS é 0.00423, com percentil de 0.35603, datada de 2026-10-23.
Correção e mitigação
- Atualize o Google Chrome para Android para 155.0.8059.39 ou posterior, seguindo as notas de versão do canal estável do Chrome.
- Confirme a versão instalada em dispositivos Android gerenciados e aplique as atualizações pelo canal padrão de aplicativos.
- Até a atualização, reduza a exposição evitando links e páginas não confiáveis, já que o gatilho descrito é uma página HTML criada (inferência).
Orientações de detecção
- Inventarie dispositivos Android com Chrome e compare as versões instaladas com o limite 155.0.8059.39.
- Revise a telemetria de ameaças móveis em busca de travamentos inesperados do navegador ou atividade incomum de processos do navegador. As fontes consultadas não trazem indicadores específicos.
Limitações das informações disponíveis
- O registro não tem título em inglês e não possui campo de versão corrigida.
- A entrada de produto afetado cita apenas o Google Chrome; o escopo Android vem da descrição.
- A entrada no rastreador de issues está marcada como exigindo permissões, por isso os detalhes técnicos não puderam ser verificados.
- Não há análise independente de exploração disponível no registro.
Perguntas frequentes
O que é a CVE-2026-106239?
É um estouro de inteiro no WebGL do Google Chrome para Android. A descrição diz que ele poderia, potencialmente, permitir execução de código arbitrário fora do sandbox por meio de uma página HTML criada.
Quais versões são afetadas?
A descrição indica o Chrome para Android anterior a 155.0.8059.39. A lista estruturada de afetados é inconsistente, então a descrição é a principal referência.
Esta vulnerabilidade está sendo explorada?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.