CVE-2026-13909: Google Chrome DevTools: fuga de sandbox por aplicação insuficiente de política
A CVE-2026-13909 afeta versões do Google Chrome anteriores à 150.0.7871.47 e envolve aplicação insuficiente de política no DevTools. Segundo o registro, um atacante remoto que já tivesse comprometido o processo renderer poderia potencialmente escapar do sandbox por meio de uma página HTML especialmente elaborada. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
Versões do Google Chrome anteriores à 150.0.7871.47 apresentam um problema de aplicação insuficiente de política no DevTools, classificado como CWE-693. Segundo o registro, um atacante remoto que já tivesse comprometido o processo renderer poderia potencialmente escapar do sandbox por meio de uma página HTML especialmente elaborada. O registro indica severidade de segurança do Chromium como Média.
Impacto
- O registro descreve uma possível fuga do sandbox, o que ampliaria o alcance do atacante além do processo renderer.
- O registro informa pontuação base CVSS 3.1 de 9,6, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, indicando vetor de rede, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
- A severidade do Chromium (Média) e a pontuação CVSS do registro são medidas distintas; as fontes consultadas não explicam a diferença.
Produtos e versões afetados
- Google Chrome anterior à 150.0.7871.47, conforme listado no registro.
- O registro não lista outros produtos, plataformas ou builds.
Status de exploração
- O registro não indica inclusão no catálogo KEV da CISA (kev.listed é falso). Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Google Chrome para a versão 150.0.7871.47 ou posterior, conforme a faixa afetada no registro. Consulte as notas de versão do fornecedor para o build aplicável a cada plataforma.
- Mantenha as atualizações automáticas ativas e verifique a versão instalada em estações gerenciadas.
- Até a correção, limite a navegação em sites não confiáveis em sistemas sensíveis e restrinja o uso do DevTools onde for operacionalmente viável. Esta é uma inferência a partir da natureza do problema, não uma recomendação do fornecedor.
Orientações de detecção
- Faça o inventário das instalações do Chrome e compare cada build instalado com a versão 150.0.7871.47.
- Revise registros dos endpoints em busca de atividade incomum de processos do Chrome após acessos a páginas não confiáveis. Trata-se de recomendação geral, não de assinatura de detecção das fontes.
Limitações das informações disponíveis
- O registro não contém entradas no campo de correções, portanto a versão corrigida é inferida apenas a partir da faixa afetada.
- Não há detalhes técnicos além da descrição, da entrada no rastreador de problemas do Chromium e das notas de versão do fornecedor.
- Os valores de EPSS do registro estimam a probabilidade de exploração e não confirmam exploração.
- O nome da CWE não é informado no registro.
Perguntas frequentes
Quais versões do Chrome são afetadas pela CVE-2026-13909?
O registro lista versões do Google Chrome anteriores à 150.0.7871.47 como afetadas. A atualização para a 150.0.7871.47 ou posterior cobre a faixa afetada indicada no registro.
A CVE-2026-13909 é explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.