CVE-2026-9876: Use-after-free em WebGL no Google Chrome para Android

Visão geral

Foi registrada uma falha de use-after-free no componente WebGL do Google Chrome para Android, identificada como CVE-2026-9876 (CWE-416). Segundo o registro, um atacante remoto poderia, potencialmente, usar uma página HTML criada para isso e realizar uma fuga do sandbox do navegador. O Chromium classifica o problema como crítico.

Impacto

A pontuação base CVSS 3.1 é 9.6 (crítica), informada pelo CNA e também registrada pelo CISA-ADP, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
O vetor indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
Os dados SSVC registram impacto técnico total, exploração como none e automatizável como no.

Produtos e versões afetadas

Produto: Google Chrome para Android.
A faixa afetada é listada como anterior a 148.0.7778.216.
O registro traz uma segunda entrada de faixa contraditória (a partir de 148.0.7778.216 e anterior a 148.0.7778.216). Ela não pode ser satisfeita e não deve ser lida como faixa utilizável.
A lista de correções do registro está vazia. As notas de versão vinculadas apontam para uma atualização do canal estável para desktop.

Status de exploração

O CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O SSVC registra exploração como none, e a EPSS indica probabilidade de 0.00345, com percentil de 0.26864.

Correção e mitigação

Atualize o Google Chrome para Android para 148.0.7778.216 ou versão posterior. A faixa afetada indica que essa é a primeira versão fora do intervalo vulnerável.
Verifique a versão instalada nos dispositivos Android gerenciados e confirme que as atualizações automáticas estão habilitadas.
Enquanto a atualização não for aplicada, limite a navegação a sites confiáveis quando possível e reduza a exposição a conteúdo HTML não confiável, conforme a política da organização.

Detecção

Faça o inventário das versões do Chrome nos dispositivos Android e sinalize qualquer versão anterior a 148.0.7778.216.
Revise os relatórios do gerenciamento de dispositivos móveis em busca de navegadores que não receberam a atualização do canal estável.
Monitore falhas inesperadas do navegador em endpoints Android, reconhecendo que esses sinais não são específicos deste CVE.

Limitações das informações disponíveis

O registro não traz aviso do fornecedor além da entrada no rastreador de problemas do Chromium, que está marcada como de acesso restrito.
A lista de correções está vazia e a faixa afetada contém uma entrada contraditória.
Detalhes técnicos do defeito não estão disponíveis no registro, e não há informação de exploração pública nas fontes consultadas.
A data da EPSS (2026-10-23) é posterior à data de publicação, então seu significado deve ser verificado na fonte EPSS.
O registro não informa se o Chrome para desktop ou outras plataformas são afetados.

Perguntas frequentes

Este CVE está listado como explorado ativamente?

Não. O catálogo KEV da CISA não lista o CVE-2026-9876, e não há exploração confirmada nas fontes consultadas.

Qual versão do Chrome deve ser instalada?

A faixa afetada é anterior a 148.0.7778.216, então a versão alvo é 148.0.7778.216 ou posterior. Essa conclusão é uma inferência a partir da faixa listada no registro.

O registro confirma uma lista de correções?

Não. A lista de correções está vazia, o que não significa que não exista correção. As notas de versão vinculadas descrevem uma atualização do canal estável.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.