CVE-2026-13853: Use-after-free no Journeys do Google Chrome com possível fuga de sandbox
Uma falha de use-after-free no recurso Journeys do Google Chrome, descrita como afetando versões anteriores à 150.0.7871.47, poderia permitir que um atacante remoto que já tenha comprometido o processo renderer tente uma fuga do sandbox por meio de uma página HTML criada. O registro atribui pontuação 9.6 (crítica) pelo CVSS e classifica a falha como CWE-416. O registro não mostra inclusão no KEV e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma falha de use-after-free no recurso Journeys do Google Chrome. Segundo a descrição, o problema é tratado nas versões 150.0.7871.47 e posteriores. A fraqueza é classificada como CWE-416 (Use After Free).
Impacto
- O cenário descrito exige um atacante remoto que já tenha comprometido o processo renderer.
- Nessa condição, o registro indica que o atacante poderia potencialmente escapar do sandbox do navegador por meio de uma página HTML criada.
- A pontuação CVSS 9.6 reflete alcance pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária e alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.
Produtos e versões afetados
- Produto: Google Chrome.
- A descrição menciona versões anteriores à 150.0.7871.47. A faixa estruturada de afetados lista versões abaixo de 150.0.7871.46. A fronteira exata deve ser confirmada nas notas de versão do canal estável do Chrome.
Status de exploração
O registro não lista esta CVE no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Google Chrome para a versão 150.0.7871.47 ou superior, seguindo o aviso do fabricante referenciado no registro.
- Verifique as versões instaladas nos endpoints gerenciados, pois a fronteira de versão estruturada difere ligeiramente da descrição.
- Mantenha as atualizações automáticas ativas e priorize a atualização do navegador em sistemas usados para navegação em sites não confiáveis.
Orientação para detecção
- Faça o inventário das versões do Chrome no ambiente e sinalize qualquer instalação abaixo da versão corrigida.
- Revise a telemetria dos endpoints em busca de falhas inesperadas do renderer ou anomalias no processo do navegador em sistemas que acessam sites não confiáveis, como indicador geral de tentativas de corrupção de memória.
Limitações das informações disponíveis
- O campo de correções do registro está vazio, então a versão corrigida foi obtida da descrição e do aviso do fabricante referenciado.
- A descrição e a faixa estruturada de afetados usam fronteiras de versão diferentes (150.0.7871.47 e 150.0.7871.46).
- O registro não contém detalhes de prova de conceito, cronologia de exploração nem informações sobre atores de ameaça.
- Os valores EPSS são registrados como fornecidos e não são evidência de exploração.
Perguntas frequentes
O que é a CVE-2026-13853?
É uma vulnerabilidade de use-after-free no recurso Journeys do Google Chrome que, segundo o registro, poderia permitir que um atacante remoto que já tenha comprometido o processo renderer tente uma fuga do sandbox por meio de uma página HTML criada.
O que os administradores devem fazer?
Atualizar o Google Chrome para a versão 150.0.7871.47 ou superior, conforme o aviso do fabricante referenciado, e verificar as versões instaladas em todos os sistemas gerenciados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.