CVE-2026-106414: Google Chrome no iOS: Validação Imprópria de Entrada com Possível Execução de Código Fora do Sandbox

Visão geral

A CVE-2026-106414 descreve uma fraqueza de validação imprópria de entrada (CWE-20) na versão mobile do Google Chrome no iOS. A descrição indica que um atacante remoto que use engenharia social poderia potencialmente executar código arbitrário fora do sandbox do navegador, por meio de uma página HTML especialmente criada. A gravidade de segurança do Chromium está indicada como Média, enquanto o registro traz rótulo de gravidade Crítica e pontuação CVSS v3 base de 9.6.

Impacto

A descrição indica que a execução de código arbitrário fora do sandbox é potencialmente possível.
O vetor CVSS do registro indica ataque pela rede, sem necessidade de privilégios e com exigência de interação do usuário, com escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
O impacto real depende de o usuário ser levado a abrir uma página maliciosa, cenário que o registro associa à engenharia social.

Produtos e versões afetados

Produto: Google Chrome, edição mobile no iOS, conforme a descrição.
A descrição situa o problema em versões anteriores à 155.0.8059.39.
A lista estruturada de versões afetadas contém duas entradas conflitantes, por isso a faixa exata deve ser confirmada nas notas de versão do fabricante.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA.
Os campos SSVC indicam exploração como none e automatizável como no.
A probabilidade EPSS é de 0.00338, com percentil de 0.26045, datada de 2026-10-23.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o Google Chrome no iOS para a versão 155.0.8059.39 ou uma compilação posterior, conforme indicado no registro e nas notas de versão do fabricante listadas nas referências.
Mantenha as atualizações do navegador ativas em dispositivos iOS corporativos e pessoais, e verifique as versões instaladas pelas ferramentas de gestão de dispositivos da sua organização.
Reforce a conscientização dos usuários sobre links não solicitados e páginas inesperadas, já que o ataque descrito depende de engenharia social.

Orientação de detecção

Inventarie os dispositivos iOS e registre a versão do Chrome instalada para identificar os que ainda estão anteriores à 155.0.8059.39.
Revise relatos de falhas inesperadas do navegador ou de comportamento incomum em dispositivos gerenciados.
Correlacione relatos de usuários sobre links suspeitos com a atividade do navegador em nível geral, sem depender de indicadores específicos que as fontes não fornecem.

Limitações das informações disponíveis

A lista estruturada de correções está vazia. A versão corrigida foi extraída da redação da descrição e deve ser verificada no aviso do fabricante.
O registro não possui título em inglês, e a descrição contém uma palavra repetida na frase sobre a plataforma.
As entradas de versões afetadas são contraditórias.
A página do rastreador de problemas do Chromium está marcada como exigindo permissões e o seu conteúdo não foi revisado.
Não há detalhes técnicos nem informações de prova de conceito, e nenhuma é incluída aqui.

Perguntas frequentes

A CVE-2026-106414 está sendo explorada ativamente?

O registro não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Qual versão corrige esse problema?

A descrição situa o problema em versões anteriores à 155.0.8059.39, por isso a atualização para 155.0.8059.39 ou uma compilação posterior é a correção esperada. Confirme nas notas de versão do fabricante.

Por que a faixa de versões afetadas não está clara?

A lista estruturada de versões afetadas contém duas entradas conflitantes, então a faixa exata deve ser verificada no aviso do fabricante.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.