CVE-2026-13869: Use-after-free no componente Device do Google Chrome no Windows permite fuga do sandbox
Um use-after-free (CWE-416) no componente Device do Google Chrome no Windows é descrito como possível causa de fuga do sandbox por um atacante que já tenha comprometido o processo renderer. O registro indica como afetadas as versões anteriores à 150.0.7871.47 e informa pontuação CVSS 3.1 de 9.6. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
O registro da CVE descreve um problema de use-after-free no componente Device do Google Chrome no Windows. Segundo a descrição, um atacante remoto que já tivesse comprometido o processo renderer poderia potencialmente realizar uma fuga do sandbox por meio de uma página HTML criada para esse fim.
Impacto
- O registro descreve a possibilidade de fuga do sandbox após o comprometimento do renderer, o que ampliaria o alcance do atacante para além do isolamento do navegador.
- A pontuação CVSS 3.1 registrada pelo CNA é 9.6, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Isso indica entrega pela rede, necessidade de interação do usuário, mudança de escopo e alto impacto na confidencialidade, integridade e disponibilidade.
- A classificação de gravidade de segurança do Chromium informada na descrição é Média, o que difere da pontuação CVSS; ambas são reportadas como constam no registro.
- A fraqueza é classificada como CWE-416 (Use After Free).
Produtos e versões afetadas
- Google Chrome no Windows, em versões anteriores à 150.0.7871.47, conforme o registro.
- O campo de correções está vazio. A expressão anteriores à 150.0.7871.47 sugere que essa versão é a primeira não afetada, o que é uma inferência.
Status de exploração
A CVE não consta no catálogo KEV da CISA neste registro, portanto não há exploração ativa reportada. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro EPSS indica probabilidade de 0.00345 e percentil de 0.26186, datados de 2026-10-13.
Correção e mitigação
- Atualize o Google Chrome no Windows para a versão 150.0.7871.47 ou superior, conforme descrito no anúncio de atualização do canal estável.
- Priorize a atualização em sistemas onde usuários navegam em sites não confiáveis ou abrem conteúdo HTML não confiável.
- Confirme a versão instalada pela página de versão do navegador ou pelas ferramentas de gestão de endpoints.
Orientações de detecção
- Faça o inventário das instalações do Chrome em endpoints Windows e sinalize qualquer build abaixo de 150.0.7871.47.
- Analise a telemetria de falhas do navegador e eventos inesperados de renderer ou sandbox como sinais complementares, em nível geral.
- Trate falhas inexplicáveis do navegador após visitas a páginas não confiáveis como motivo para verificar a versão instalada.
Limitações das informações disponíveis
- O registro contém apenas a descrição curta e não inclui detalhes técnicos sobre a causa raiz.
- O link do rastreador de problemas do Chromium está marcado como exigindo permissões, de modo que detalhes técnicos adicionais podem não estar publicamente acessíveis.
- A lista de correções está vazia e não há campo explícito de versão corrigida preenchido.
- A pontuação CVSS vem de uma única entrada de provedor; não há outras fontes de pontuação listadas.
Perguntas frequentes
Quais versões do Chrome são afetadas pela CVE-2026-13869?
O registro descreve o Google Chrome no Windows anterior à 150.0.7871.47 como afetado. Compare a versão instalada com essa referência.
A CVE-2026-13869 é explorada ativamente?
O registro não a lista no catálogo KEV da CISA e não há exploração confirmada na natureza nas fontes consultadas. Continue acompanhando os avisos oficiais.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.