CVE-2026-13861: Google Chrome: use-after-free no componente Core com possível fuga do sandbox (CWE-416)

Visão geral

O registro descreve um use-after-free (CWE-416) no componente Core do Google Chrome. Segundo a descrição, um atacante remoto que já tenha comprometido o processo renderizador pode, potencialmente, escapar do sandbox por meio de uma página HTML criada para esse fim.

Impacto

O resultado descrito é a possível fuga do sandbox após o comprometimento do renderizador.
A pontuação base CVSS 3.1 de 9.6 é informada pelo CNA e pelo CISA-ADP, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
Esse vetor indica alto impacto em confidencialidade, integridade e disponibilidade, com necessidade de interação do usuário e mudança de escopo.
O rótulo de gravidade de segurança do Chromium é Média, enquanto a pontuação CVSS é 9.6. Essas medidas usam métodos diferentes e devem ser interpretadas com cautela.

Produtos e versões afetadas

Produto informado: Google Chrome.
A descrição indica que versões anteriores à 150.0.7871.47 são afetadas.
O intervalo de versões afetadas no registro é inconsistente: uma entrada cobre versões abaixo de 150.0.7871.46 e outra é um intervalo vazio em 150.0.7871.47.
O registro não contém versões corrigidas listadas.

Status de exploração

O registro indica que a vulnerabilidade não consta no KEV. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Os campos SSVC indicam exploração como none e automatizável como no.
A probabilidade EPSS é 0.00306, com percentil 0.21656, datada de 2026-10-13.

Correção e mitigação

Atualize o Google Chrome para a versão 150.0.7871.47 ou superior, já que a descrição situa a faixa vulnerável abaixo desse build.
Confirme o build exato corrigido e os detalhes por plataforma no aviso do fornecedor antes da implantação.
Mantenha a atualização automática do navegador sempre que possível e evite deixar equipamentos gerenciados em builds antigos.

Orientações de detecção

Inventarie as instalações do Chrome e registre os números de build para identificar sistemas abaixo da versão limite.
Use relatórios de gestão de ativos de software ou de endpoints para localizar builds do Chrome não atualizados.
Observe travamentos inesperados do processo renderizador ou comportamento anormal do navegador como sinais gerais, sem que sejam específicos desta falha.

Limitações das informações disponíveis

O registro não possui título original em inglês, por isso os títulos aqui foram derivados da descrição.
A lista de correções está vazia e o intervalo afetado é ambíguo.
O registro não inclui detalhes de exploração, e esta análise também não os fornece.
A entrada no rastreador de problemas do Chromium está marcada como exigindo permissões, por isso seu conteúdo não é refletido aqui.

Perguntas frequentes

O que é a CVE-2026-13861?

É uma vulnerabilidade de use-after-free (CWE-416) no componente Core do Google Chrome. A descrição indica que ela pode permitir fuga do sandbox após o comprometimento do renderizador.

Quais versões são afetadas?

A descrição indica que versões anteriores à 150.0.7871.47 são afetadas. O intervalo no registro é ambíguo, por isso o aviso do fornecedor deve ser consultado para os limites exatos.

Há registro de exploração conhecida?

O registro indica que a falha não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.