CVE-2026-106241: Autorização incorreta no Search do Google Chrome para Android
A CVE-2026-106241 é uma falha de autorização incorreta (CWE-863) no componente Search do Google Chrome para Android. O registro descreve a possibilidade de execução de código arbitrário fora do sandbox por meio de uma página HTML maliciosa combinada com engenharia social. As pontuações do CNA e do CISA-ADP são 9,6, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-106241 é um problema de autorização incorreta (CWE-863) no componente Search do Google Chrome para Android. Segundo o registro, um invasor remoto que use engenharia social poderia, por meio de uma página HTML criada com esse fim, potencialmente executar código arbitrário fora do sandbox. A descrição indica gravidade de segurança do Chromium como Média, enquanto as pontuações do CNA e do CISA-ADP são 9,6.
Impacto
- O registro descreve um caminho potencial para execução de código arbitrário fora do sandbox do navegador.
- Os dados de pontuação indicam que é necessária interação do usuário e que o ataque é alcançável pela rede.
- Os dados de pontuação classificam os impactos de confidencialidade, integridade e disponibilidade como altos.
Produtos e versões afetados
- Produto: Google Chrome para Android.
- O registro lista as versões anteriores à 155.0.8059.39 como afetadas.
- As entradas de afetados também contêm uma segunda faixa que é internamente inconsistente; veja a seção de limitações.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e os dados SSVC do registro indicam exploração como none. Não há exploração confirmada na natureza nas fontes consultadas.
Correção e mitigação
- Atualize o Google Chrome para Android para a versão 155.0.8059.39 ou superior, que é o limite de versão indicado no registro.
- Consulte as notas de versão do fabricante linkadas nas referências para detalhes da atualização.
- Até que a atualização seja aplicada, limite a exposição a links e páginas não confiáveis, já que o ataque descrito depende de uma página HTML maliciosa.
Orientações de detecção
- Inventarie os dispositivos Android com Chrome e compare as versões instaladas com a 155.0.8059.39.
- Use os relatórios de gerenciamento de dispositivos móveis para encontrar equipamentos que ainda não receberam a atualização do navegador.
- Observe falhas incomuns do navegador ou alertas relacionados ao sandbox em dispositivos gerenciados, quando suas ferramentas permitirem.
Limitações das informações disponíveis
- O registro não contém entradas na lista de correções, então a versão corrigida é inferida apenas a partir da faixa de versões afetadas.
- A lista de afetados inclui uma faixa de 155.0.8059.39 até antes de 155.0.8059.39, que conflita com a outra faixa.
- O registro não traz um título, por isso o título foi redigido a partir da descrição.
- Detalhes técnicos da vulnerabilidade não constam nas fontes consultadas.
Perguntas frequentes
Esta CVE está sendo explorada?
O catálogo KEV da CISA não a lista, e não há exploração confirmada nas fontes consultadas.
Qual versão devo usar?
O registro aponta 155.0.8059.39 como limite de versão, então atualize o Chrome para Android para 155.0.8059.39 ou superior.
Qual é o caminho do ataque?
A descrição indica uma página HTML maliciosa combinada com engenharia social. Detalhes técnicos não constam no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.