CVE Intelligence
Análise Assistido por IA

CVE-2026-13028: Use-after-free no WebGL do Google Chrome para Android

A CVE-2026-13028 é uma falha de use-after-free no componente WebGL do Google Chrome para Android, classificada como CWE-416. O registro descreve que um atacante remoto poderia, potencialmente, obter uma fuga de sandbox por meio de uma página HTML criada para esse fim, com pontuação base CVSS 3.1 de 9.6. Recomenda-se atualizar o Chrome para Android para a versão 149.0.7827.197 ou superior; não há exploração confirmada nas fontes consultadas.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A CVE-2026-13028 é uma falha de corrupção de memória do tipo use-after-free no componente WebGL do Google Chrome para Android, classificada como CWE-416. Segundo o registro, um atacante remoto poderia, potencialmente, usar uma página HTML criada para esse fim para escapar do sandbox do navegador. A gravidade de segurança atribuída pelo Chromium é crítica.

Impacto

  • O registro descreve a possibilidade de fuga de sandbox, o que ampliaria o impacto além do processo de renderização do navegador.
  • A pontuação base CVSS 3.1 de 9.6 usa o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, que indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
  • O impacto real depende da forma como o navegador está implantado e da interação do usuário necessária para carregar a página.

Produtos e versões afetados

  • Google Chrome para Android anterior à versão 149.0.7827.197, conforme a descrição e o intervalo de versões do registro.
  • A lista de afetados do registro indica o Google Chrome com intervalo abaixo de 149.0.7827.197. A restrição a Android vem da descrição.
  • O registro não traz uma entrada separada de versão corrigida. Considerar 149.0.7827.197 como a primeira versão fora do intervalo afetado é uma inferência.

Status de exploração

  • O CISA KEV não lista esta CVE no registro.
  • Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

  • Atualize o Google Chrome para Android para a versão 149.0.7827.197 ou superior.
  • Consulte as notas de versão do canal estável do fornecedor, listadas nas referências, para confirmar os detalhes da atualização.
  • Priorize frotas Android gerenciadas e confirme as versões instaladas do Chrome por meio de ferramentas de gerenciamento de dispositivos.
  • Enquanto a atualização não for aplicada, restrinja a navegação em conteúdo web não confiável nos dispositivos afetados, como medida temporária de redução de risco.

Orientação para detecção

  • Faça o inventário das versões do Chrome nos dispositivos Android e sinalize qualquer build abaixo de 149.0.7827.197.
  • Monitore falhas inesperadas do navegador ou instabilidade do renderizador em dispositivos não corrigidos como sinal geral, reconhecendo que tais eventos não são específicos desta CVE.

Limitações das informações disponíveis

  • O registro não traz detalhes técnicos além da descrição, e o link da issue do Chromium exige permissões de acesso.
  • Não há dados de EPSS ou SSVC disponíveis.
  • Não há entradas de correção no registro, portanto a versão corrigida é inferida a partir do intervalo afetado.

Perguntas frequentes

O que é a CVE-2026-13028?

É uma falha use-after-free no componente WebGL do Google Chrome para Android, classificada como CWE-416. O registro descreve uma possível fuga de sandbox por meio de uma página HTML criada para esse fim.

Quais versões são afetadas?

Segundo o registro, as versões do Google Chrome para Android anteriores à 149.0.7827.197 são afetadas.

Esta CVE é explorada?

O CISA KEV não a lista no registro, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.