CVE-2026-13901: Google Chrome, componente Serial: fuga de sandbox por aplicação insuficiente de política

Visão geral

A CVE-2026-13901 afeta o Google Chrome anterior à versão 150.0.7871.47. Segundo o registro, a aplicação insuficiente de política no componente Serial poderia permitir que um atacante remoto, que já tivesse comprometido o processo de renderização, potencialmente escapasse do sandbox por meio de uma página HTML elaborada. A gravidade de segurança do Chromium é classificada como Média, enquanto a pontuação base CVSS 3.1 registrada pela CNA e pelo CISA ADP é 9,6.

Impacto

• O registro descreve uma fuga de sandbox, que ampliaria o alcance do atacante além do processo de renderização.
• O vetor CVSS registrado (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) indica vetor de ataque pela rede, sem privilégios exigidos, com necessidade de interação do usuário, mudança de escopo e alto impacto na confidencialidade, integridade e disponibilidade.
• O registro apresenta a fuga de sandbox como dependente de um comprometimento prévio da renderização, por isso deve ser avaliada como parte de uma cadeia e não isoladamente.

Produtos e versões afetados

• Google Chrome anterior à versão 150.0.7871.47, conforme a descrição.
• O campo de afetados contém duas entradas: uma para versões abaixo de 150.0.7871.47 e outra para um intervalo que começa e termina em 150.0.7871.47. A segunda entrada é internamente inconsistente e deve ser conferida nas notas de versão do fornecedor.
• O registro não traz lista de correções preenchida.

Status de exploração

Esta CVE não consta, no registro, no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas. O valor SSVC de exploração é none e o de automatizável é no. A probabilidade EPSS é 0,00345, com percentil de 0,26194, datada de 2026-10-13.

Remediação e mitigação

• Atualize o Google Chrome para a versão 150.0.7871.47 ou superior, em consonância com o limite indicado na descrição.
• Confirme o estado de atualização em parques gerenciados pelos canais corporativos de atualização e verifique os números de build instalados.
• Revise as notas de versão do fornecedor vinculadas nas referências para a lista completa de correções incluídas na mesma atualização.

Orientações de detecção

• Faça o inventário das versões do Chrome nos endpoints e sinalize instalações abaixo de 150.0.7871.47.
• Analise a telemetria dos endpoints em busca de falhas inesperadas do processo de renderização ou atividade anômala de processos filhos iniciados pelo navegador, como indicador de alto nível de tentativas de comprometimento.

Limitações das informações disponíveis

• O registro não fornece detalhes técnicos sobre a verificação de política específica nem sobre o caminho do recurso Serial envolvido.
• O campo de título estava vazio no registro e os intervalos de versões afetadas são inconsistentes.
• Nenhuma correção está listada no registro; a versão corrigida foi extraída apenas da redação da descrição.
• A pontuação CVSS base é registrada como 9,6 por dois provedores, enquanto a gravidade do Chromium é Média; a diferença reflete frameworks de pontuação distintos.

Perguntas frequentes

Quais versões do Chrome são afetadas pela CVE-2026-13901?

O registro descreve as versões do Google Chrome anteriores à 150.0.7871.47 como afetadas. O campo de afetados também contém um segundo intervalo inconsistente, por isso as notas de versão do fornecedor devem ser conferidas.

A CVE-2026-13901 é conhecida por ser explorada ativamente?

Não. O registro não a inclui no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualizar o Google Chrome para a versão 150.0.7871.47 ou superior e verificar os builds instalados nos endpoints gerenciados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.