CVE-2026-13032: Use-After-Free no WebGL do Google Chrome para Android com possível fuga de sandbox

Visão geral

A CVE-2026-13032 é uma vulnerabilidade de uso após liberação (CWE-416) no componente WebGL do Google Chrome para Android. O registro indica que versões anteriores à 149.0.7827.197 são afetadas. O Google, como CNA, descreve o impacto como uma possível fuga de sandbox por um atacante remoto, usando uma página HTML criada, e a gravidade de segurança do Chromium é classificada como Crítica.

Impacto

O registro descreve uma possível fuga de sandbox. Não detalha os privilégios resultantes nem o acesso a dados.
A pontuação CVSS 3.1 base de 9,6 é fornecida pelo CNA com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
Pelo significado padrão desse vetor, o ataque é realizado pela rede, não exige privilégios, exige interação do usuário (como acessar uma página), altera o escopo e tem alto impacto na confidencialidade, integridade e disponibilidade. Esta leitura é nossa interpretação do vetor.

Produtos e versões afetadas

Produto: Google Chrome para Android.
Faixa afetada: versões anteriores à 149.0.7827.197.
O registro não lista nenhuma versão corrigida no campo de correções. O limite 149.0.7827.197 vem da faixa afetada e da descrição.
O registro não informa se o Chrome para desktop é afetado. A referência do fornecedor aponta para uma atualização de canal estável para desktop, mas isso não confirma impacto no desktop para esta CVE.

Status de exploração

O registro não indica inclusão no catálogo KEV da CISA. Nas fontes consultadas não aparece exploração confirmada no ambiente real. Esse status pode mudar, por isso deve ser reverificado em avisos atualizados.

Remediação e mitigação

Atualize o Google Chrome para Android para a versão 149.0.7827.197 ou superior, conforme a faixa afetada.
Acompanhe a atualização do canal estável do Chrome Releases e verifique se os dispositivos gerenciados recebem a versão para Android.
Em frotas gerenciadas, confirme a versão instalada do Chrome em todos os dispositivos e acompanhe a implantação das correções.
Enquanto houver dispositivos que não possam ser atualizados, reduza a exposição a conteúdo web não confiável como medida temporária.

Orientação para detecção

Faça o inventário das versões do Chrome em dispositivos Android e sinalize qualquer build anterior à 149.0.7827.197.
Revise os relatórios do sistema de gestão de dispositivos móveis em busca de navegadores sem atualização.
Monitore falhas incomuns do navegador ou do processo de renderização em dispositivos não corrigidos, como sinal geral de problemas de segurança de memória. O registro não fornece indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não inclui pontuação CVSS de outro provedor, pontuação EPSS ou decisão SSVC.
O campo de correções está vazio, portanto a build corrigida é inferida a partir da faixa afetada.
A entrada no rastreador de problemas do Chromium está marcada como exigindo permissões, por isso seus detalhes não puderam ser verificados aqui.
O registro não traz detalhes técnicos além da descrição, então não há outras condições de exploração conhecidas.

Perguntas frequentes

Quais versões do Chrome são afetadas pela CVE-2026-13032?

O registro indica o Google Chrome para Android anterior à versão 149.0.7827.197 como afetado. Não confirma se o Chrome para desktop também é afetado.

A CVE-2026-13032 é explorada no mundo real?

O registro não a inclui no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada. Verifique avisos atualizados, pois esse status pode mudar.

O que administradores devem fazer em relação à CVE-2026-13032?

Atualize o Chrome para Android para a versão 149.0.7827.197 ou superior, confirme a versão instalada em todos os dispositivos gerenciados e reduza a exposição a conteúdo web não confiável nos dispositivos que ainda não puderam ser atualizados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.