CVE-2026-9872: Escrita fora dos limites na GPU do Google Chrome para Android

Visão geral

A CVE-2026-9872 é uma escrita fora dos limites no componente GPU do Google Chrome para Android. Segundo o registro, um invasor remoto poderia, potencialmente, usar uma página HTML especialmente construída para tentar escapar do sandbox. O projeto Chromium classifica o problema como Crítico.

Impacto

A descrição menciona uma possível fuga do sandbox, o que significa que código poderia, em tese, ultrapassar o limite de isolamento do navegador.
A pontuação CVSS base de 9,6 é informada pelo CNA e pelo CISA-ADP. O vetor indica acesso pela rede, baixa complexidade, ausência de privilégios, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
Como há necessidade de interação do usuário, uma vítima precisaria carregar a página construída para que o problema seja alcançável.

Produtos e versões afetadas

Google Chrome para Android, anterior à versão 148.0.7778.216.
O registro contém uma segunda faixa redundante que se sobrepõe à primeira. Ela deve ser conferida nas notas de versão do fabricante antes de se tirar conclusões sobre os limites.

Status de exploração

A CISA KEV não lista esta CVE. O valor de exploração no SSVC está registrado como none, e o valor de automatização como no. Nenhuma exploração confirmada aparece nas fontes consultadas, portanto esta análise não afirma que o problema esteja sendo explorado na natureza.

Correção e mitigação

Atualize o Google Chrome para Android para a versão 148.0.7778.216 ou superior, que é a versão a partir da qual a descrição deixa de indicar o produto como afetado.
Quando a atualização não puder ser aplicada imediatamente, limite a navegação em conteúdo web não confiável nos dispositivos afetados e use políticas de gerenciamento de dispositivos móveis para forçar as atualizações.
Consulte as notas de versão do fabricante vinculadas abaixo para a lista completa de correções da mesma release.

Orientações de detecção

Faça um inventário dos dispositivos Android com Chrome e registre a versão instalada, para identificar os dispositivos abaixo de 148.0.7778.216.
Use ferramentas de gerenciamento de dispositivos móveis ou de endpoint para relatar as versões do navegador e confirmar a conformidade das atualizações.
Analise relatórios de falhas inesperadas do navegador ou instabilidade relacionada à GPU em dispositivos gerenciados como um sinal geral para investigação, sem tratá-los como prova de comprometimento.

Limitações das informações disponíveis

O registro não lista versões corrigidas nos campos estruturados, então a versão corrigida foi extraída da redação da descrição e deve ser confirmada nas notas do fabricante.
A faixa de versões afetadas no registro é redundante e parcialmente contraditória.
Não há detalhes técnicos, prova de conceito pública ou disponibilidade de exploit nas fontes consultadas.
Os valores do EPSS são um retrato de probabilidade e não indicam exploração confirmada.
O registro não possui título, por isso o título desta análise foi redigido a partir da descrição.

Perguntas frequentes

A CVE-2026-9872 está sendo explorada na natureza?

A CISA KEV não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração no SSVC está registrado como none.

Qual versão do Chrome corrige o problema no Android?

A descrição indica que o Chrome para Android é afetado antes da versão 148.0.7778.216, por isso essa é a primeira versão que a descrição não lista como afetada. Confirme isso nas notas de versão do fabricante.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.