CVE-2026-13882: Condição de corrida no USB do Google Chrome com possível fuga de sandbox

Visão geral

A CVE-2026-13882 é uma condição de corrida (CWE-362) no componente USB do Google Chrome, publicada em 30/06/2026. O registro descreve um atacante remoto que já tenha comprometido o processo renderer e que poderia, potencialmente, usar uma página HTML elaborada para escapar do sandbox do navegador. O projeto Chromium classifica a gravidade de segurança como média.

Impacto

O registro descreve uma possível fuga do sandbox, o que levaria o atacante para além do ambiente restrito do processo renderer.
O CNA e o CISA-ADP informam, ambos, pontuação base CVSS 3.1 de 9.6, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Esse vetor indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.
O vetor e a descrição sugerem que já deve existir um comprometimento do renderer e que há necessidade de interação do usuário.

A pontuação CVSS é uma estimativa padronizada e não substitui uma avaliação de risco local.

Produtos e versões afetadas

A descrição identifica o Google Chrome anterior à versão 150.0.7871.47 como afetado.
O campo estruturado de versões afetadas lista um intervalo abaixo de 150.0.7871.46 e um segundo intervalo internamente inconsistente. Por isso, o limite exato deve ser confirmado no aviso Chrome Releases.
O campo de correções do registro está vazio. A versão 150.0.7871.47, citada na descrição, é o único indicador de versão corrigida disponível.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, e o valor de exploração no SSVC é none. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0,00244, com percentil de 0,14465.

Correção e mitigação

Atualize o Google Chrome para a versão 150.0.7871.47 ou superior, seguindo o aviso Chrome Releases.
Verifique se as estações gerenciadas recebem a atualização e se os navegadores são reiniciados após a instalação.
Mantenha as atualizações automáticas ativas e, onde for operacionalmente viável, restrinja a navegação em sites não confiáveis em sistemas sensíveis.

Orientações de detecção

Faça o inventário das versões do Chrome nas estações e sinalize qualquer instalação anterior à 150.0.7871.47.
Revise a telemetria de endpoints e do navegador em busca de travamentos inesperados do renderer ou comportamento incomum de processos de sandbox. Trate esses sinais como motivo para investigação, e não como confirmação de comprometimento.

Limitações das informações disponíveis

O registro não inclui detalhes técnicos da condição de corrida, do caminho de código USB afetado nem dados de validação, e esta análise não os acrescenta.
A entrada no rastreador de problemas está marcada como exigindo permissões, por isso seu conteúdo não pôde ser utilizado.
O intervalo de versões afetadas é internamente inconsistente e o campo de correções está vazio.
A data EPSS de 13/10/2026 é posterior à data de publicação. O valor é apresentado conforme registrado.

Perguntas frequentes

O que é a CVE-2026-13882?

É uma condição de corrida no componente USB do Google Chrome anterior à versão 150.0.7871.47. O registro indica que um atacante remoto que já tenha comprometido o processo renderer poderia, potencialmente, escapar do sandbox por meio de uma página HTML elaborada.

O que os administradores devem fazer?

Atualizar o Google Chrome para a versão 150.0.7871.47 ou superior, confirmar que os equipamentos gerenciados recebem a atualização e reiniciar os navegadores depois. Também vale fazer o inventário de versões para encontrar instalações desatualizadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.