A Google lançou atualizações de segurança emergenciais para corrigir uma nova vulnerabilidade do Chrome explorada em ataques zero-day, a oitava desse tipo desde o início do ano.
"A Google está ciente de que existe um exploit para o CVE-2026-125350 em ambiente real", disse a empresa em um aviso de segurança na segunda-feira.
A falha é uma vulnerabilidade de uso após liberação de alta gravidade no componente XML do navegador web Google Chrome. Ela ocorre quando o analisador XML do navegador processa dados, exclui um objeto da memória do computador, mas falha ao limpar o ponteiro que referencia esse objeto. Os atacantes podem explorar essa vulnerabilidade de corrupção de memória quando o navegador tenta usar ou ler esse espaço de memória liberado posteriormente para manipular o layout da memória e executar código malicioso.
Um pesquisador anônimo reportou o problema à Google em 6 de novembro. A Google não compartilhou detalhes adicionais sobre os ataques que exploram a vulnerabilidade.
"O acesso aos detalhes do bug e aos links pode ser mantido restrito até que a maioria dos usuários seja atualizada com uma correção. Também manteremos as restrições se o bug existir em uma biblioteca de terceiros da qual outros projetos dependem de forma semelhante, mas que ainda não foi corrigida", observou a Google.
Os patches estão incluídos nas atualizações do Chrome 157, especificamente nas versões 157.0.8103.50/.51 para Windows e Mac, e 157.0.8103.50 para Linux. A Google diz que a atualização de segurança pode levar dias ou semanas para alcançar todos os usuários do Chrome.
Desde o início do ano, a Google abordou outras sete vulnerabilidades zero-day ativamente exploradas:
- CVE-2026-2441, um bug de invalidação de iterador no CSSFontFeatureValuesMap, corrigido em meados de fevereiro
- CVE-2026-3909, uma vulnerabilidade de escrita fora dos limites na biblioteca gráfica 2D Skia, corrigida em março
- CVE-2026-3910, uma vulnerabilidade de implementação inadequada no mecanismo V8 JavaScript e WebAssembly, corrigida em março
- CVE-2026-5281, uma vulnerabilidade de uso após liberação no Dawn, corrigida em abril
- CVE-2026-11645, uma vulnerabilidade de leitura e escrita fora dos limites no mecanismo JavaScript V8 do Chrome, corrigida em junho
- CVE-2026-85046, uma falha de confusão de tipos no mecanismo JavaScript V8, corrigida em setembro
- CVE-2026-87491, uma falha de escrita fora dos limites no mecanismo JavaScript V8, corrigida em setembro