CVE-2026-9874: Vulnerabilidade de Use-After-Free no Dawn do Google Chrome
A CVE-2026-9874 é um use-after-free no componente Dawn do Google Chrome anterior à versão 148.0.7778.216, classificada como CWE-416. Um atacante remoto poderia, potencialmente, escapar do sandbox ao induzir o usuário a abrir uma página HTML especialmente elaborada. O registro informa pontuação CVSS 3.1 de 9,6 e não aponta exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve um use-after-free (CWE-416) no Dawn, componente do Google Chrome, nas versões anteriores à 148.0.7778.216. Foi publicado em 28/05/2026 e está com status Analyzed na NVD.
Impacto
Segundo a descrição, um atacante remoto poderia, potencialmente, realizar uma fuga do sandbox usando uma página HTML especialmente elaborada. A pontuação base CVSS 3.1 é 9,6, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, que, pela definição padrão do CVSS, indica exploração pela rede, sem privilégios, com necessidade de interação do usuário, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade. Os campos SSVC indicam impacto técnico total, exploração none e automatizável no.
Produtos e versões afetados
- Produto: Google Chrome.
- Descrito como afetado antes da versão 148.0.7778.216.
- Os dados de versões afetadas do registro são inconsistentes: uma das entradas descreve um intervalo que começa e termina na mesma versão, por isso o limite exato deve ser confirmado no aviso do fabricante.
- O registro não lista versões corrigidas. A descrição sugere que 148.0.7778.216 é a primeira versão não afetada, o que é uma inferência.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00319, com percentil de 0,23723. O campo SSVC de exploração é none e o de automatização é no.
Correção e mitigação
- Atualize o Google Chrome para a versão 148.0.7778.216 ou superior, seguindo o aviso do fabricante indicado abaixo.
- Mantenha as atualizações automáticas do navegador ativas e confirme que os endpoints gerenciados receberam a atualização.
- Em ambientes de maior sensibilidade, restrinja a navegação em conteúdo web não confiável até concluir a correção.
Orientações de detecção
- Faça o inventário das versões do Chrome no parque computacional e identifique qualquer instalação anterior à 148.0.7778.216.
- Revise a telemetria dos endpoints em busca de comportamento incomum de processos do navegador após o acesso a links desconhecidos, sem depender de nenhum padrão específico de exploração.
Limitações das informações disponíveis
O registro não tem título em inglês, nem campo de versões corrigidas, nem detalhes além da descrição. A entrada do rastreador de problemas do Chromium está marcada como exigindo permissões, por isso seu conteúdo não pôde ser analisado. A data do EPSS (23/10/2026) é posterior à data de publicação e deve ser verificada antes do uso.
Perguntas frequentes
A CVE-2026-9874 está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Qual versão do Chrome corrige o problema?
A descrição indica que as versões anteriores à 148.0.7778.216 são afetadas, o que sugere que a 148.0.7778.216 ou superior é a correção esperada. O registro não traz um campo formal de versão corrigida, então confirme no aviso do fabricante.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.