CVE-2026-106375: Vulnerabilidade de limpeza incompleta no Dawn do Google Chrome com risco de fuga do sandbox
A CVE-2026-106375 é uma falha de limpeza incompleta no componente Dawn do Google Chrome, conforme descrito no registro. Segundo o registro, um atacante remoto poderia potencialmente executar código arbitrário fora do sandbox por meio de uma página HTML criada. As notas de versão do fabricante são a principal fonte para a versão corrigida, 155.0.8059.39.
Visão geral
As notas de versão do canal estável do Google Chrome indicam a correção da CVE-2026-106375, uma falha de limpeza incompleta no componente Dawn. Segundo o registro, um atacante remoto poderia potencialmente executar código arbitrário fora do sandbox ao induzir um usuário a acessar uma página HTML criada.
Impacto
- O registro descreve a possível execução de código arbitrário fora do sandbox do Chrome.
- A pontuação base CVSS 3.1 é 9.6, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, que indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.
- A gravidade de segurança do Chromium está classificada como Média. Essa é a avaliação própria do fabricante e é separada da pontuação CVSS.
Produtos e versões afetados
- Produto: Google Chrome.
- O registro descreve como afetadas as versões anteriores à 155.0.8059.39, e a versão 155.0.8059.39 é apontada pelas fontes como a correção.
- Os dados de versões afetadas no registro contêm duas entradas sobrepostas que citam a 155.0.8059.39. O limite exato deve ser confirmado nas notas de versão do fabricante.
Status de exploração
- O registro não indica que esta CVE esteja no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é 0,00402, com percentil de 0,33327, datada de 23/10/2026. O valor de exploração SSVC no registro é none.
Correção e mitigação
- Atualize o Google Chrome para a versão 155.0.8059.39 ou superior, conforme indicado nas notas de versão do fabricante.
- Confirme que os navegadores gerenciados estão sendo atualizados e verifique a versão instalada em todos os endpoints.
- Mantenha ativas as proteções de sandbox e de isolamento de sites, e trate comportamentos inesperados do navegador em páginas não confiáveis como prioridade de investigação.
Orientações de detecção
- Faça o inventário das versões do Chrome na frota e sinalize hosts com versão anterior à 155.0.8059.39.
- Revise a telemetria dos endpoints em busca de atividade inesperada de processos filhos originados pelo navegador. Trata-se de um sinal genérico, não de um indicador validado para esta CVE.
Limitações das informações disponíveis
- As fontes não descrevem a função do componente Dawn nem a natureza precisa da falha de limpeza.
- O link do rastreador de problemas do Chromium está marcado como exigindo permissões, por isso os detalhes técnicos completos podem não estar públicos.
- O registro informa o identificador CWE-459, mas não informa o nome da CWE.
- As entradas de versões afetadas no registro se sobrepõem, então a faixa exata não está totalmente clara apenas com base nele.
Perguntas frequentes
A CVE-2026-106375 está sendo explorada ativamente?
O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. Os valores EPSS e SSVC do registro são baixos.
Qual versão do Chrome corrige este problema?
O registro e as notas de versão do fabricante apontam a 155.0.8059.39 como versão corrigida. Usuários com versões anteriores devem atualizar para essa versão ou superior.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.