CVE-2026-5290: Use-After-Free em Compositing no Google Chrome Permite Fuga do Sandbox
Uma falha de use-after-free no componente Compositing do Google Chrome, classificada como CWE-416, pode, segundo a descrição, permitir que um atacante remoto que já tenha comprometido o processo renderer realize uma fuga do sandbox por meio de uma página HTML criada para isso. O registro informa pontuação CVSS base de 9.6 e não lista a CVE no catálogo KEV da CISA. A descrição cita 146.0.7680.178 como limite de versão, enquanto o campo de correções do registro está vazio.
Visão geral
Este registro descreve uma fraqueza de use-after-free no componente Compositing do Google Chrome, classificada como CWE-416. Segundo a descrição, um atacante remoto que já tivesse comprometido o processo renderer poderia, potencialmente, escapar do sandbox por meio de uma página HTML criada para isso. A atualização do canal estável do fabricante é a principal referência do fornecedor presente no registro.
Impacto
- A consequência potencial descrita é a fuga do sandbox, condicionada a um comprometimento prévio do renderer.
- A pontuação CVSS base do registro é 9.6, que corresponde a uma classificação crítica no próprio registro.
- Os campos SSVC do registro indicam exploração como none, automatizável como no e impacto técnico como total.
Produtos e versões afetadas
O registro identifica o Google Chrome. A descrição afirma que versões anteriores à 146.0.7680.178 são afetadas. As entradas de afetação listam um intervalo abaixo de 146.0.7680.177 e outro que começa em 146.0.7680.178 e termina em 146.0.7680.178. O campo de correções está vazio, portanto o registro não traz uma entrada separada de versão corrigida. Os detalhes da liberação podem ser conferidos na atualização do canal estável do Chrome.
Status de exploração
O registro indica kev listed como false, por isso não há exploração ativa confirmada registrada para esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS do registro é de 0,306 por cento, com percentil de 22,2.
Correção e mitigação
- Atualize o Google Chrome para a versão 146.0.7680.178 ou superior, que é o limite citado na descrição.
- Verifique as versões instaladas em endpoints gerenciados e priorize navegadores que renderizam com frequência conteúdo web não confiável.
- Mantenha as atualizações automáticas do navegador habilitadas e garanta que os navegadores sejam reiniciados após a aplicação da atualização.
Orientações de detecção
- Faça um inventário das versões do Chrome na frota e sinalize builds anteriores ao limite informado.
- Revise a telemetria dos endpoints em busca de comportamento inesperado em processos do navegador ou do renderer, em nível geral.
Limitações das informações disponíveis
A entrada no rastreador de problemas está marcada como exigindo permissões, por isso seu conteúdo não pôde ser utilizado. O registro não oferece detalhes técnicos além da classe da fraqueza e da descrição. O campo de correções está vazio, e o registro não informa se a entrada 146.0.7680.177 corresponde a um build corrigido.
Perguntas frequentes
Esta CVE exige que o atacante comprometa antes o renderer?
Sim, segundo a descrição. Ela afirma que o atacante remoto já havia comprometido o processo renderer antes de tentar a fuga do sandbox.
Para qual versão devo atualizar o Google Chrome?
A descrição cita 146.0.7680.178 como limite, então builds nessa versão ou superiores estão fora do intervalo afetado informado. O registro não traz um campo separado de versão corrigida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.