CVE-2026-9891: Google Chrome: use-after-free em Extensões pode permitir fuga de sandbox

Visão geral

A CVE-2026-9891 é uma fragilidade do tipo use-after-free (CWE-416) no componente Extensions do Google Chrome, publicada em 28/05/2026. O registro afirma que um atacante remoto que já tivesse comprometido o processo renderer poderia, em tese, realizar uma fuga de sandbox por meio de uma extensão do Chrome especialmente elaborada. O fornecedor classifica a gravidade de segurança do Chromium como Crítica.

Impacto

O registro descreve uma possível fuga de sandbox que exige comprometimento prévio do processo renderer.
O vetor CVSS presente no registro indica vetor de rede, alta complexidade de ataque, nenhum privilégio e nenhuma interação do usuário exigidos, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. A pontuação base é 9.
Os dados SSVC do registro indicam impacto técnico total e automatização não.

Produtos e versões afetadas

Versões do Google Chrome anteriores à 148.0.7778.216 são descritas como afetadas.
A lista de afetados do registro inclui um limite em 148.0.7778.215 e uma entrada com faixa internamente contraditória, com início e fim em 148.0.7778.216. Os limites exatos devem ser confirmados nas notas de versão do fornecedor.

Status de exploração

Segundo o registro, esta CVE não consta no catálogo KEV da CISA. Não há indicação de exploração confirmada na natureza nas fontes consultadas. A probabilidade EPSS é 0,00343, com percentil de 0,26614, conforme informado no registro.

Correção e mitigação

Atualize o Google Chrome para a versão 148.0.7778.216 ou posterior, conforme indicado nas notas de versão do fornecedor.
Priorize a atualização em equipamentos onde o Chrome é usado intensamente para atividades sensíveis.
Restrinja a instalação de extensões às aprovadas por meio de políticas corporativas do navegador e remova as extensões que não são mais necessárias.

Orientações de detecção

Faça o inventário das versões do Chrome no ambiente e sinalize instalações anteriores à 148.0.7778.216.
Revise as extensões instaladas em busca de itens inesperados, não verificados ou adicionados recentemente.
Monitore falhas incomuns do navegador ou anomalias no processo renderer como indicadores gerais, sem tratá-los como assinaturas confirmadas desta falha.

Limitações das informações disponíveis

O campo de correções do registro está vazio. A versão corrigida 148.0.7778.216 é inferida pela redação da descrição, que menciona versões anteriores a 148.0.7778.216.
A lista de afetados contém entradas inconsistentes, por isso a faixa vulnerável exata não está totalmente confirmada.
O registro de rastreamento de problemas vinculado está marcado como exigindo permissões, o que indica que os detalhes técnicos provavelmente são restritos.
A data do EPSS no registro (23/10/2026) é posterior à data de publicação; ela é apresentada conforme fornecida.
O registro não informa se outros navegadores baseados em Chromium são afetados.

Perguntas frequentes

O que é a CVE-2026-9891?

É uma vulnerabilidade use-after-free no componente Extensions do Google Chrome que, segundo o registro, poderia permitir fuga de sandbox após o comprometimento do processo renderer.

Quais versões são afetadas?

A descrição indica que versões do Chrome anteriores à 148.0.7778.216 são afetadas. A lista de afetados do registro é parcialmente inconsistente, por isso confira as notas de versão do fornecedor para os limites exatos.

Esta CVE é explorada na natureza?

O registro não a lista no catálogo KEV da CISA, e não há indicação de exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.