CVE-2026-5902: Condição de corrida no Google Chrome para Android em metadados de fluxo de mídia

Visão geral

Este registro descreve uma condição de corrida (CWE-362) no componente Media do Google Chrome para Android. De acordo com o registro, o atacante precisa ser um agente remoto que já tenha comprometido o processo renderizador, e o efeito descrito é a corrupção de metadados de fluxo de mídia por meio de uma página HTML elaborada.

Impacto

O registro descreve o efeito como corrupção de metadados de fluxo de mídia.
A CNA e o CISA ADP atribuem pontuação CVSS base de 9.8, com vetor indicando acesso pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
Inferência: a pontuação CVSS é bem superior à classificação de severidade baixa do Chromium. O registro não explica essa diferença, então o risco real deve ser avaliado com o contexto do fornecedor.

Produtos e versões afetados

Google Chrome para Android anterior a 147.0.7727.55.
As entradas de afetados do registro são internamente inconsistentes: uma faixa vai até antes de 147.0.7727.55 e a segunda vai de 147.0.7727.55 até 147.0.7727.55. O único limite utilizável é 147.0.7727.55.

Status de exploração

O registro indica que este CVE não está listado no catálogo KEV da CISA.
Não há exploração ativa confirmada nas fontes consultadas.
Os campos SSVC do registro indicam exploração nenhuma, automatizável sim e impacto técnico total.
A probabilidade EPSS é 0.0033, com percentil de 0.24914.

Correção e mitigação

Atualize o Google Chrome para Android para 147.0.7727.55 ou superior, com base no limite indicado no registro.
A lista de correções do registro está vazia. Isso não significa que não exista correção; consulte as notas de versão do fornecedor linkadas abaixo.
Use gerenciamento de dispositivos móveis ou políticas corporativas para inventariar as versões do navegador e confirmar a aplicação das atualizações.

Orientações de detecção

Inventarie as versões do Chrome em dispositivos Android e sinalize qualquer instalação abaixo de 147.0.7727.55.
Revise relatórios de gerenciamento de dispositivos em busca de navegadores desatualizados, sobretudo em equipamentos de uso sensível.
As fontes consultadas não descrevem indicadores técnicos específicos de comprometimento, então o inventário de versões é o principal sinal verificável.

Limitações das informações disponíveis

O registro não tem campo explícito de versão corrigida e a faixa afetada é contraditória.
As notas de versão linkadas têm título do canal estável para desktop; confirme se cobrem a build para Android.
A entrada do rastreador de problemas do Chromium exige permissões, por isso seus detalhes não puderam ser analisados.
O campo de data do EPSS indica 2026-10-23, que deve ser verificado na fonte antes de ser utilizado.
O título em inglês estava ausente no registro e foi redigido pelo analista.

Perguntas frequentes

Quais versões do Chrome para Android são afetadas pelo CVE-2026-5902?

O registro indica versões anteriores a 147.0.7727.55. As entradas de afetados são contraditórias, então 147.0.7727.55 é o único limite confiável.

Há exploração ativa conhecida desta vulnerabilidade?

O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.

Por que a pontuação difere da severidade do Chromium?

O registro traz pontuação CVSS base de 9.8 da CNA e do CISA ADP, enquanto o Chromium classifica como baixa. O registro não explica a diferença.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.