CVE-2026-13780: Google Chrome ANGLE: validação insuficiente de entrada que pode permitir escape de sandbox

Visão geral

A CVE-2026-13780 é classificada como CWE-20 (Validação Imprópria de Entrada). De acordo com a descrição, o ANGLE, camada de tradução gráfica usada pelo Google Chrome, não valida adequadamente entradas não confiáveis. Um atacante remoto que já tenha comprometido o processo de renderização poderia, em tese, usar uma página HTML elaborada para escapar do sandbox. O Google classifica a falha como Crítica na sua escala de gravidade de segurança do Chromium.

Impacto

O registro afirma que um escape bem-sucedido do sandbox é possível, o que levaria o atacante além do ambiente restrito do processo de renderização. Os vetores da NVD e do CISA-ADP (CVSS 3.1, AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) indicam acesso pela rede, baixa complexidade, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. A cadeia descrita exige, como pré-condição separada, a comprometimento prévio do renderizador.

Produtos e versões afetadas

Google Chrome anterior à 150.0.7871.47, conforme a descrição.
Os dados estruturados de afetação listam o intervalo abaixo de 150.0.7871.46 e uma segunda entrada, de 150.0.7871.47 a menos de 150.0.7871.47, que é internamente inconsistente e não deve ser usada isoladamente.
O registro não preenche um campo de versão corrigida. A descrição indica que a versão 150.0.7871.47 contém a correção.

Status de exploração

O catálogo KEV não inclui esta CVE, portanto a CISA não confirma exploração ativa. Os dados SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0.00425 (percentil 0.34991), com data de 2026-10-13. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o Google Chrome para a versão 150.0.7871.47 ou superior, conforme o aviso do fabricante.
Verifique o status de atualização em navegadores gerenciados e em implantações baseadas em Chromium que incorporem o ANGLE, pois produtos derivados podem publicar a correção em cronogramas próprios.
Mantenha as atualizações automáticas habilitadas e priorize navegadores usados para abrir conteúdo não confiável.

Orientações de detecção

Faça o inventário das versões do Chrome nos endpoints e sinalize qualquer build anterior à 150.0.7871.47.
Monitore falhas inesperadas de processos de renderização ou comportamento anômalo de processos filhos como sinal defensivo geral, sem tratá-lo como prova de comprometimento.
Revise a telemetria dos endpoints em busca de anomalias após navegação em conteúdo web não confiável em sistemas sem correção.

Limitações das informações disponíveis

O registro não traz campo de versão corrigida, análise técnica detalhada nem informações públicas de prova de conceito. Os intervalos de versão afetada são contraditórios na forma estruturada. O acesso ao rastreador de bugs do fornecedor pode ser restrito. O vetor CVSS e o rótulo de gravidade do Chromium vêm do registro e não foram verificados de forma independente.

Perguntas frequentes

A CVE-2026-13780 está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC no registro é none.

Qual versão do Chrome corrige a CVE-2026-13780?

A descrição indica que versões anteriores à 150.0.7871.47 são afetadas, o que sugere que a 150.0.7871.47 contém a correção. O registro estruturado não traz campo específico de versão corrigida, por isso vale consultar o aviso do fabricante.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.