CVE-2026-13872: Google Chrome para Android: validação inadequada de entrada em WebAppInstalls com possível escape de sandbox

Visão geral

A CVE-2026-13872 trata de validação insuficiente de entrada não confiável no componente WebAppInstalls do Google Chrome para Android. Segundo o registro, um arquivo malicioso poderia potencialmente levar a um escape de sandbox. O CNA responsável é o Google (chrome-cve-admin), e a data de publicação informada é 30/06/2026.

Impacto

O registro afirma a possibilidade de escape de sandbox, que ultrapassaria a fronteira restrita de processos do navegador.
O registro informa pontuação CVSS 3.1 de 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H, indicando alto impacto em integridade e disponibilidade.
A descrição classifica a gravidade de segurança do Chromium como Média, o que difere da pontuação numérica do CVSS. O motivo dessa diferença não é explicado nas fontes consultadas.

Produtos e versões afetadas

Google Chrome para Android em versões anteriores à 150.0.7871.47.
A lista de correções do registro está vazia. O limite de versão da descrição indica que a 150.0.7871.47 e as posteriores não são afetadas, mas não há entrada separada de versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração confirmada nas fontes consultadas, e esta análise não afirma exploração ativa.

Correção e mitigação

Atualize o Google Chrome para Android para a versão 150.0.7871.47 ou posterior, conforme o limite de versão informado no registro.
Consulte as notas de lançamento do fornecedor, vinculadas nas referências, para confirmar a build disponível no seu canal de atualização.
Enquanto as atualizações não forem aplicadas, restrinja o manuseio de arquivos de origem não confiável em dispositivos Android gerenciados e mantenha a atualização automática do navegador ativa.

Orientação para detecção

Faça o inventário dos dispositivos Android com Chrome e registre a versão instalada do navegador.
Sinalize dispositivos com builds do Chrome anteriores à 150.0.7871.47 para atualização prioritária.
Monitore os logs de gerenciamento de dispositivos móveis quanto à instalação ou manipulação inesperada de arquivos de origens não confiáveis, em nível geral.

Limitações das informações disponíveis

O registro não identifica o provedor da pontuação CVSS, e o UUID da fonte não pode ser associado a uma organização nomeada com os dados fornecidos.
O vetor de ataque de rede (AV:N) no CVSS conflita com o cenário de atacante local descrito. Ambas as informações são reportadas como constam e a divergência permanece sem resolução.
Os detalhes técnicos da falha no WebAppInstalls não constam no registro, e o registro no rastreador de issues é restrito.
Os dados de EPSS incluem a data de 2026-10-13, posterior à data de publicação. Foram reportados como informados.

Perguntas frequentes

Quais versões do Chrome são afetadas pela CVE-2026-13872?

O registro lista o Google Chrome para Android em versões anteriores à 150.0.7871.47 como afetadas. As versões a partir da 150.0.7871.47 não são descritas como afetadas.

A CVE-2026-13872 é explorada em ataques reais?

A CVE não consta como listada no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.

O que os administradores devem fazer agora?

Atualize o Chrome para Android para a versão 150.0.7871.47 ou posterior e consulte as notas de lançamento do fornecedor para confirmar a build disponível nos seus dispositivos.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.