CVE-2026-106281: Google Chrome: use-after-free no componente Tint
Uma falha do tipo use-after-free no componente Tint do Google Chrome pode permitir que um atacante remoto, por meio de uma página HTML especialmente criada, potencialmente execute código arbitrário fora do sandbox do navegador. A descrição indica que versões do Chrome anteriores a 155.0.8059.39 são afetadas, e a pontuação base CVSS informada pelo CNA e pelo CISA-ADP é 9.6 (crítica). Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O CVE-2026-106281 é uma vulnerabilidade do tipo use-after-free (CWE-416) no componente Tint do Google Chrome. O registro foi publicado em 2026-10-06 pelo CNA do Chrome e aparece com status Analyzed nas fontes consultadas.
Impacto
Segundo a descrição, um atacante remoto poderia potencialmente executar código arbitrário fora do sandbox do Chrome, levando um usuário a abrir uma página HTML especialmente criada. A pontuação base CVSS é 9.6 (crítica), informada tanto pelo CNA quanto pelo CISA-ADP, e o impacto técnico do SSVC está listado como total. O registro também indica que a interação do usuário é necessária na pontuação CVSS.
Produtos e versões afetadas
- Versões do Google Chrome anteriores a 155.0.8059.39 são descritas como afetadas.
- Os dados de intervalo de versões do registro contêm uma segunda entrada que descreve um intervalo de 155.0.8059.39 até, mas sem incluir, 155.0.8059.39, o que é internamente contraditório. O limite de versão deve ser interpretado a partir da descrição e das notas de lançamento do fornecedor.
Status de exploração
O catálogo KEV da CISA não lista este CVE, e a probabilidade EPSS é 0.00338 (percentil 0.26045). O campo de exploração do SSVC é none e automatable é no. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Google Chrome para a versão 155.0.8059.39 ou superior, conforme indicado pela descrição e pelas notas de lançamento do fornecedor.
- Em ambientes gerenciados, confirme que a atualização do navegador foi aplicada em todos os endpoints, inclusive naqueles atualizados fora do canal normal.
- Consulte as notas de lançamento para a build corrigida em cada plataforma: Chrome Stable Channel Update.
Orientação de detecção
- Mantenha um inventário das versões do Chrome no ambiente e sinalize qualquer instalação abaixo de 155.0.8059.39.
- Revise relatórios de falhas do navegador e comportamento incomum de processos filhos nos endpoints como indicador de alto nível, reconhecendo que não se trata de uma assinatura específica para este problema.
Limitações das informações disponíveis
- O registro não inclui campo de versão corrigida, e a lista de correções está vazia. A ausência desse campo não significa que não exista correção; a descrição e as notas de lançamento apontam para 155.0.8059.39.
- O registro não inclui detalhes de prova de conceito, e esta análise não fornece nenhum.
- O título estava vazio no registro, portanto o título aqui foi derivado da descrição.
- A fonte das pontuações CVSS informadas é um identificador do fornecedor, e a justificativa completa da pontuação não está disponível.
Perguntas frequentes
Qual versão do Chrome corrige o CVE-2026-106281?
A descrição indica que versões anteriores a 155.0.8059.39 são afetadas, portanto atualizar para 155.0.8059.39 ou superior resolve o problema segundo as fontes. O registro não tem campo formal de versão corrigida, então confira as notas de lançamento do fornecedor para builds por plataforma.
O CVE-2026-106281 é explorado na natureza?
O catálogo KEV da CISA não lista este CVE, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00338.
Qual é a severidade do CVE-2026-106281?
A pontuação base CVSS informada pelo CNA e pelo CISA-ADP é 9.6, classificada no registro como crítica. A descrição também menciona severidade de segurança do Chromium como High.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.