CVE-2026-13776: Confusão de tipo no Dawn do Google Chrome
A CVE-2026-13776 é uma falha de confusão de tipo no Dawn, presente no Google Chrome anterior à versão 150.0.7871.47. Segundo o registro, um atacante remoto que já tivesse comprometido o processo de renderização poderia potencialmente escapar do sandbox por meio de uma página HTML criada para esse fim. A NVD atribui pontuação base CVSS 3.1 de 9.8, e o registro não indica inclusão no catálogo KEV da CISA.
Visão geral
A CVE-2026-13776 é uma falha de confusão de tipo (CWE-843) no Dawn, conforme informado para o Google Chrome anterior à versão 150.0.7871.47. O registro foi publicado em 30/06/2026, e o Chromium classifica a gravidade de segurança como Crítica.
Impacto
Segundo o registro, um atacante remoto que já tivesse comprometido o processo de renderização poderia potencialmente escapar do sandbox usando uma página HTML criada para esse fim. A NVD atribui pontuação base CVSS 3.1 de 9.8. O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H descreve um ataque alcançável pela rede, de baixa complexidade, sem necessidade de privilégios ou interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. O registro também traz uma segunda pontuação, de 9.6, atribuída por outro provedor que não é identificado.
Produtos e versões afetadas
- Google Chrome anterior à versão 150.0.7871.47.
- O registro não informa uma versão corrigida. Como a faixa afetada termina antes de 150.0.7871.47, essa versão é a primeira que o registro trata como não afetada (inferência).
Status de exploração
A CVE-2026-13776 não consta no catálogo KEV da CISA neste registro. Não há exploração confirmada no ambiente real nas fontes consultadas. A probabilidade EPSS da FIRST é de 0.00348 (percentil 0.26587), com data de 13/10/2026. O EPSS estima a probabilidade de exploração, mas não a confirma.
Correção e mitigação
- Atualize o Google Chrome para a versão 150.0.7871.47 ou posterior e consulte o aviso do fornecedor listado nas referências.
- Em ambientes gerenciados, aplique políticas de atualização do navegador e confirme a versão instalada em cada estação.
- Enquanto as atualizações não forem aplicadas, reduza a exposição a conteúdo web não confiável e mantenha navegadores e extensões atualizados.
Orientações de detecção
- Faça o inventário das versões do Chrome no ambiente e sinalize qualquer build abaixo de 150.0.7871.47.
- Revise a telemetria dos endpoints em busca de travamentos inesperados do navegador ou comportamento incomum do processo de renderização, lembrando que esses sinais não são específicos desta falha.
- Quando disponível, use filtragem web para monitorar acessos a sites suspeitos que possam servir páginas criadas para o ataque.
Limitações das informações disponíveis
- O registro não traz detalhes técnicos sobre a falha nem sobre sua causa raiz.
- O registro no rastreador de problemas é restrito a usuários com permissão, por isso seus detalhes não foram analisados.
- O provedor da segunda pontuação CVSS (9.6) não é identificado.
- O registro não estabelece com que facilidade o escape do sandbox poderia ser obtido.
Perguntas frequentes
Quais versões são afetadas?
Segundo o registro, as versões do Google Chrome anteriores à 150.0.7871.47 são afetadas.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer?
Atualize o Google Chrome para a versão 150.0.7871.47 ou posterior e verifique se todas as estações estão nessa versão ou em uma mais recente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.