CVE-2026-13859: Google Chrome ANGLE: Implementação Inadequada com Possível Fuga de Sandbox

Visão geral

O registro descreve uma implementação inadequada no ANGLE, camada de abstração gráfica usada pelo Google Chrome, classificada como CWE-693 (falha em mecanismo de proteção). Segundo o registro, um atacante remoto poderia, potencialmente, usar uma página HTML elaborada para escapar do sandbox do navegador. O problema é referenciado na atualização do canal estável do Chrome e no rastreador de issues do Chromium.

Impacto

Uma fuga bem-sucedida do sandbox removeria o atacante da fronteira de isolamento do navegador. O registro trata isso como um resultado potencial, não como algo demonstrado.
O vetor CVSS 3.1 indica vetor de rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade, com pontuação base de 9.6.
O Chromium classifica a gravidade de segurança como Média, em escala diferente da pontuação CVSS.

Produtos e versões afetadas

As versões do Google Chrome anteriores à 150.0.7871.47 são descritas como afetadas.
O intervalo de versões afetadas no registro é internamente inconsistente. Uma entrada indica versões abaixo de 150.0.7871.46, e outra indica versões iguais ou superiores a 150.0.7871.47 e inferiores a 150.0.7871.47, o que não corresponde a nenhuma versão. Confirme o intervalo exato no aviso do fabricante.

Situação de exploração

O registro não indica inclusão deste CVE no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas.
Os campos SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0.00379, aproximadamente 0,38 por cento.

Correção e mitigação

Atualize o Google Chrome para a versão 150.0.7871.47 ou posterior em todas as plataformas desktop afetadas, seguindo o aviso do fabricante.
Priorize a atualização em sistemas usados para navegar em conteúdo não confiável, pois o caminho de ataque descrito depende de uma página HTML elaborada.
Mantenha as atualizações automáticas do navegador ativas e verifique a versão instalada após a aplicação.
Em ambientes de alto risco, restrinja a navegação a sites confiáveis até que a atualização seja implantada.

Orientação para detecção

Faça o inventário das versões do Chrome nos endpoints e sinalize instalações abaixo de 150.0.7871.47.
Monitore relatórios de falhas do navegador e comportamentos incomuns de processos do navegador em nível geral. O registro não traz indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não contém entradas de correção, nome da CWE nem detalhes técnicos além da descrição curta.
O intervalo de versões afetadas é contraditório, conforme indicado acima.
O registro não informa se existe código de prova de conceito público.
As fontes consultadas não confirmam exploração em ambientes reais.

Perguntas frequentes

O que é a CVE-2026-13859?

É uma vulnerabilidade no componente ANGLE do Google Chrome, descrita como implementação inadequada que poderia permitir que um atacante remoto potencialmente escapasse do sandbox do navegador por meio de uma página HTML elaborada.

Quais versões do Chrome são afetadas?

O registro descreve versões do Chrome anteriores à 150.0.7871.47 como afetadas, mas o intervalo é internamente inconsistente, por isso o aviso do fabricante deve ser consultado para o intervalo exato.

Esta vulnerabilidade está sendo explorada?

O registro não a inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.