CVE-2026-13846: Use-After-Free no componente USB do Google Chrome para Mac com risco de fuga do sandbox
Uma falha de use-after-free no componente USB do Google Chrome para Mac, em versões anteriores à 150.0.7871.47, poderia permitir que um invasor remoto que já tivesse comprometido o processo renderer tentasse uma fuga do sandbox por meio de uma página HTML criada para esse fim. O registro indica pontuação base CVSS 3.1 de 9.6 e informa que o Chromium classifica o problema como Alto. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo CISA KEV.
Visão geral
O registro descreve uma condição de uso após liberação (use-after-free) no componente USB do Google Chrome para macOS. Segundo a descrição, as versões anteriores à 150.0.7871.47 são afetadas. A fraqueza é classificada como CWE-416.
Impacto
- A exploração exige um invasor que já tenha comprometido o processo renderer.
- O registro descreve uma possível fuga do sandbox entregue por meio de uma página HTML criada para esse fim.
- O vetor CVSS 3.1 indica vetor de ataque pela rede, sem privilégios necessários, com interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro apontam impacto técnico total.
Produtos e versões afetadas
- Google Chrome para Mac, anterior à 150.0.7871.47.
- O campo de intervalo afetado do registro contém duas entradas, e a segunda é internamente contraditória; por isso, o intervalo exato deve ser confirmado nas notas de versão do fornecedor indicadas abaixo.
Status de exploração
- A CVE não consta no catálogo CISA KEV no registro.
- Não há exploração confirmada nas fontes consultadas.
- No registro, o valor SSVC de exploração é none e o valor de automatização é no.
Correção e mitigação
- Atualize o Google Chrome no macOS para a versão 150.0.7871.47 ou superior, que é o limite indicado na descrição. Consulte a atualização do canal estável do Chrome publicada pelo fornecedor.
- Priorize as atualizações do navegador em sistemas que lidam com frequência com conteúdo web não confiável.
- Inclua as atualizações do navegador no processo de gestão de mudanças e confirme a build instalada após a implantação.
Orientação de detecção
- Faça o inventário das versões do Chrome em endpoints macOS e sinalize qualquer build anterior à 150.0.7871.47.
- Revise a telemetria de atualização de software para confirmar a instalação e identificar hosts que ainda usem builds antigas.
Limitações das informações disponíveis
- O registro tem a lista de correções vazia, portanto a versão corrigida foi extraída da descrição de versões afetadas, e não de uma entrada estruturada de correção.
- O registro do rastreador de problemas do fornecedor tem acesso restrito e seu conteúdo não estava disponível para esta análise.
- As pontuações vêm das entradas da CNA e do CISA-ADP, que concordam em 9.6 no CVSS 3.1.
- Não foram encontrados detalhes públicos de prova de conceito ou de exploração nas fontes consultadas.
Perguntas frequentes
Quais versões do Chrome são afetadas pela CVE-2026-13846?
O registro indica que o Google Chrome para Mac anterior à 150.0.7871.47 é afetado. O campo de intervalo afetado contém uma entrada contraditória, por isso confirme o intervalo exato nas notas de versão do fornecedor.
A CVE-2026-13846 está sendo explorada ativamente?
A CVE não consta no CISA KEV no registro, e não há exploração confirmada nas fontes consultadas.
Qual ação é recomendada?
Atualize o Google Chrome para macOS para a versão 150.0.7871.47 ou superior e verifique a build instalada nos endpoints gerenciados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.