CVE-2026-13920: Google Chrome: Validação Imprópria de Entrada em Media Permite Possível Escape de Sandbox

Visão geral

A CVE-2026-13920 é uma falha no componente Media do Google Chrome para Windows. O registro descreve validação insuficiente de entrada não confiável que, combinada a um comprometimento prévio do processo renderer, poderia permitir a fuga do sandbox ao processar uma página HTML elaborada. No registro, o problema é classificado como CWE-20 (Validação Imprópria de Entrada).

Impacto

O registro descreve uma possível fuga do sandbox, o que ampliaria o alcance de um atacante além do processo renderer.
O vetor CVSS 3.1 atribui alto impacto à confidencialidade, integridade e disponibilidade, com escopo marcado como alterado e exigência de interação do usuário.
A exploração depende de um comprometimento prévio do renderer, que o registro não detalha.
A severidade de segurança atribuída pelo Chromium é Média, o que diverge do rótulo crítico e da pontuação 9,6 presentes no registro.

Produtos e versões afetadas

Google Chrome para Windows, anterior à versão 150.0.7871.47.
A lista de versões do registro inclui uma segunda entrada cujo intervalo começa e termina em 150.0.7871.47. Isso é internamente inconsistente e deve ser tratado como problema de qualidade de dados, não como um intervalo adicional afetado.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e o valor de exploração no SSVC é none, com automatizável definido como não. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o Google Chrome para Windows para a versão 150.0.7871.47 ou superior, limiar informado na descrição.
O registro não traz campo de versão corrigida; por isso, administradores devem confirmar a build instalada com as notas de versão do canal estável do Chrome, vinculadas nas referências.
Reinicie completamente o navegador após a atualização para que a nova versão entre em uso.
Organizações que usam canais de atualização gerenciados devem confirmar que a atualização chegou a todos os endpoints Windows.

Orientações de detecção

Inventarie as versões do Chrome nos endpoints Windows com as ferramentas de gestão de ativos existentes e sinalize builds abaixo do limiar informado.
Revise os logs de implantação de atualizações do navegador para confirmar a instalação bem-sucedida.
Ferramentas de detecção em endpoints podem ajudar a identificar comportamento incomum de processos do navegador, mas o registro não fornece indicadores de comprometimento nem assinaturas específicas.

Limitações das informações disponíveis

O registro não descreve a natureza técnica da fuga do sandbox, e esta análise não a detalha.
O registro não tem campo de versão corrigida e contém uma entrada de intervalo de versões inconsistente.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-06-30); isso deve ser verificado na fonte antes de usar os valores de EPSS.
A referência ao rastreador de issues está marcada como exigindo permissões, por isso seu conteúdo não pôde ser verificado.
O conteúdo das notas de versão do canal estável não foi verificado além da presença do link no registro.

Perguntas frequentes

Quais versões do Chrome são afetadas pela CVE-2026-13920?

O registro informa que o Google Chrome para Windows anterior à 150.0.7871.47 é afetado. Uma segunda entrada na lista de versões é internamente inconsistente e não deve ser lida como um intervalo adicional.

A CVE-2026-13920 é explorada em ataques reais?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualizar o Chrome para Windows para a versão 150.0.7871.47 ou superior, confirmar a build instalada nos endpoints e reiniciar completamente o navegador após a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.