CVE-2026-13934: Google Chrome no Android: escape de sandbox no Dawn por validação inadequada de entrada

Visão geral

A CVE-2026-13934 é uma falha de validação inadequada de entrada (CWE-20) no Dawn, componente do Google Chrome para Android. Segundo o registro, um atacante remoto que já tivesse comprometido o processo renderer poderia, potencialmente, escapar do sandbox usando uma página HTML elaborada. A gravidade de segurança do Chromium é classificada como Média.

Impacto

Um escape do sandbox ampliaria o alcance do atacante além do processo renderer.
A pontuação base CVSS 3.1 é 9.6 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. A pontuação do CNA é espelhada pelo CISA-ADP.
O vetor indica acesso pela rede, ausência de privilégios exigidos, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
Os campos SSVC do registro indicam impacto técnico total, não automatizável e exploração none.

Produtos e versões afetadas

Google Chrome para Android anterior à versão 150.0.7871.47, conforme a descrição.
O registro contém uma segunda faixa, 'â‰¥ 150.0.7871.47 and < 150.0.7871.47', que é contraditória. Ela não deve ser usada sem conferência nas notas de versão do fabricante.
A lista de correções do registro está vazia. A atualização do canal estável, citada nas referências, é a fonte do fabricante para consultar a versão corrigida.

Status de exploração

O registro indica KEV como falso.
Não há exploração ativa confirmada nas fontes consultadas.
A probabilidade EPSS é 0.00345, com percentil 0.26191, conforme registrado.
O valor SSVC de exploração é none.

Correção e mitigação

Atualize o Chrome para Android para a versão 150.0.7871.47 ou superior, conforme o limite indicado na descrição e na atualização do canal estável do Chrome.
Priorize dispositivos usados para navegar em conteúdo web não confiável ou desconhecido.
Mantenha as atualizações automáticas do navegador ativas e verifique o status de atualização nos dispositivos gerenciados.

Orientações de detecção

Use a gestão de dispositivos móveis para inventariar as versões do Chrome nos aparelhos Android.
Sinalize dispositivos com build do Chrome anterior a 150.0.7871.47 para correção.
Revise a telemetria de segurança móvel em busca de travamentos incomuns do navegador ou anomalias no renderer, tratando-os como indicadores para investigação e não como comprometimento confirmado.

Limitações das informações disponíveis

O registro não descreve a localização exata nem a natureza da falha de validação no Dawn.
A faixa de versões afetadas é internamente contraditória.
A referência ao rastreador de issues está marcada como Permissions Required, por isso o conteúdo completo pode não estar acessível.
A data do EPSS (2026-10-13) é posterior à data de publicação (2026-06-30), então a pontuação deve ser interpretada com cautela.

Perguntas frequentes

Quais versões do Chrome para Android são afetadas pela CVE-2026-13934?

A descrição indica que versões anteriores à 150.0.7871.47 são afetadas. A faixa de versões do registro também traz uma segunda entrada contraditória, então a conferência deve ser feita nas notas de versão do fabricante.

A CVE-2026-13934 está sendo explorada ativamente?

O registro não mostra inclusão no KEV e não há exploração ativa confirmada nas fontes consultadas. O valor SSVC de exploração é none.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.