CVE-2026-9875: Leitura fora dos limites em WebGL no Google Chrome para Android
A CVE-2026-9875 é uma leitura fora dos limites no componente WebGL do Google Chrome para Android, classificada como CWE-125 e com gravidade crítica, com pontuação CVSS 3.1 de 9,6. O registro indica que uma página HTML criada com esse fim poderia potencialmente ser usada para uma fuga de sandbox. As fontes consultadas não mostram exploração confirmada na natureza.
Visão geral
A CVE-2026-9875 é uma leitura fora dos limites no WebGL do Google Chrome para Android. O registro indica que a correção corresponde à versão 148.0.7778.216 e classifica a fraqueza como CWE-125. A gravidade de segurança do Chromium está registrada como Crítica.
Impacto
- O registro afirma que um atacante remoto poderia, potencialmente, realizar uma fuga de sandbox por meio de uma página HTML criada com esse fim.
- A pontuação base CVSS 3.1 é 9,6, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, informada pelo CNA e pelo CISA-ADP.
- Os dados SSVC do registro indicam impacto técnico total e automação não.
Produtos e versões afetados
- Google Chrome para Android anterior à versão 148.0.7778.216.
- O registro contém uma segunda entrada de faixa afetada que é internamente inconsistente, por isso os limites exatos devem ser confirmados nas notas de versão do fornecedor.
Status de exploração
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA. Nas fontes consultadas para esta análise não há exploração confirmada na natureza. A probabilidade EPSS registrada é 0,00345, com percentil de 0,26866.
Correção e mitigação
- Atualize o Google Chrome para Android para a versão 148.0.7778.216 ou superior, conforme descrito nas notas de versão do canal estável do fornecedor.
- Priorize dispositivos que acessam conteúdo web não confiável até que a atualização seja aplicada.
- Use políticas de gestão de dispositivos móveis para exigir atualizações pontuais do navegador, quando disponíveis.
Orientação para detecção
- Faça o inventário de dispositivos Android com Google Chrome instalado e registre a build instalada.
- Sinalize dispositivos com builds anteriores à 148.0.7778.216 para acompanhamento de atualização.
- Revise os relatórios de conformidade da gestão de dispositivos quanto ao status de atualização do navegador.
Limitações das informações disponíveis
O registro não possui entradas no campo de correções nem título, e os dados de faixa afetada são inconsistentes. As fontes não descrevem pré-requisitos técnicos nem as condições necessárias para uma fuga de sandbox, e esta análise não inclui detalhes de exploração.
Perguntas frequentes
O que é a CVE-2026-9875?
É uma leitura fora dos limites no WebGL do Google Chrome para Android, classificada como CWE-125 e com gravidade crítica no registro.
Qual versão corrige o problema?
O registro descreve como afetadas as builds anteriores à 148.0.7778.216, portanto a atualização para essa build ou superior é a medida relevante.
Há registro de exploração conhecida?
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e as fontes consultadas não mostram exploração confirmada na natureza.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.