CVE Intelligence
Análise Assistido por IA

CVE-2026-13880: Google Chrome para macOS: use-after-free no componente USB

A CVE-2026-13880 é uma falha de use-after-free no componente USB do Google Chrome para Mac. Um atacante remoto que já tenha comprometido o processo renderer poderia, em tese, usar uma página HTML elaborada para tentar escapar do sandbox. O CNA e o CISA-ADP atribuem nota 9.6 (Crítica) no CVSS 3.1, enquanto a severidade interna do Chromium é Média, e não há exploração confirmada nas fontes consultadas.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A CVE-2026-13880 é uma fraqueza de use-after-free (CWE-416) no componente USB do Google Chrome para Mac. O registro informa que a falha afeta versões do Chrome anteriores à 150.0.7871.47. A classe da vulnerabilidade é de segurança de memória, e a consequência descrita é um possível escape do sandbox após o processo renderer já ter sido comprometido.

Impacto

  • A descrição informa que um atacante remoto que já tivesse comprometido o processo renderer poderia, potencialmente, realizar um escape do sandbox por meio de uma página HTML elaborada.
  • O CNA e o CISA-ADP registram nota base 9.6 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
  • O vetor inclui interação do usuário (UI:R) e mudança de escopo (S:C), que a pontuação considera.
  • A severidade de segurança do Chromium é Média, diferente da classificação crítica do CVSS. Ambos os valores são reportados conforme aparecem no registro.

Produtos e versões afetados

  • Google Chrome para Mac, anteriores à 150.0.7871.47, segundo a descrição do registro.
  • Os dados de versões afetadas trazem uma segunda entrada, "≥ 150.0.7871.47 and < 150.0.7871.47", que é contraditória porque o intervalo fica vazio. Ela não deve ser lida como intervalo confirmado.
  • O registro cita apenas o Mac. Não informa se Chrome em Windows, Linux ou ChromeOS é afetado.

Situação de exploração

  • O registro indica que a CVE não está listada no catálogo KEV da CISA.
  • Não há exploração confirmada nas fontes consultadas. Os campos SSVC do registro indicam exploração como none e automatizável como no.
  • A probabilidade EPSS é 0.00306, com percentil 0.21656, conforme registrado.

Correção e mitigação

  • Atualize o Google Chrome no macOS para a versão 150.0.7871.47 ou posterior. O registro situa o intervalo afetado abaixo dessa versão, por isso ela é a versão de referência. Confirme a build exata na nota do fornecedor.
  • Use o mecanismo de atualização automática do navegador ou a ferramenta de gestão de endpoints da organização para implantar a atualização do canal estável.
  • Quando não for possível atualizar de imediato, reduza a exposição limitando a navegação em sites não confiáveis em dispositivos Mac gerenciados e monitorando comportamentos incomuns do navegador. Trate essa medida apenas como temporária.

Orientação de detecção

  • Faça o inventário das versões do Google Chrome nos endpoints Mac e sinalize qualquer build anterior à 150.0.7871.47.
  • Use relatórios de frota ou MDM para confirmar que a atualização chegou a todos os dispositivos gerenciados e acompanhar os que continuam desatualizados.
  • Observe processos filhos inesperados ou mudanças de privilégio associadas ao navegador, como indicador geral de alto nível de abuso relacionado ao sandbox. O registro não fornece indicador de comprometimento específico.

Limitações das informações disponíveis

  • O registro não tem título, por isso o título desta análise foi escrito para o portal.
  • A entrada no rastreador de problemas do Chromium está marcada como exigindo permissões, então detalhes técnicos além da descrição não estão disponíveis aqui.
  • O registro não tem campo explícito de versão corrigida. A versão corrigida é inferida a partir da expressão "anterior à 150.0.7871.47" na descrição.
  • O intervalo de versões afetadas contém uma entrada contraditória.
  • A data do EPSS no registro é posterior à data de publicação, por isso os valores EPSS devem ser tratados com cautela.

Perguntas frequentes

O que é a CVE-2026-13880?

É uma falha de use-after-free no componente USB do Google Chrome para Mac, anterior à versão 150.0.7871.47. O registro diz que ela poderia permitir um escape do sandbox por um atacante remoto que já tivesse comprometido o processo renderer.

Essa vulnerabilidade está sendo explorada?

O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Para qual versão devo atualizar?

O registro situa as versões afetadas abaixo da 150.0.7871.47, então atualizar para essa versão ou posterior é a correção esperada. Confirme a build exata na nota do fornecedor.

Por que as classificações de severidade são diferentes?

O CNA e o CISA-ADP atribuem nota 9.6 no CVSS 3.1, enquanto o Chromium lista sua severidade interna de segurança como Média. Ambas são reportadas como aparecem no registro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.