Uma explicação sobre uma vulnerabilidade do Google Chrome que pode ser ativada ao abrir uma página web manipulada. Cobre o que acontece, as versões afetadas e corrigidas e o que indivíduos e administradores devem fazer, do lado da defesa e sem passos de ataque.
- CVE
- CVE-2026-125350 (Chromium issue 582442907)
- Gravidade
- Gravidade High no Chromium. CVSS v3.1 8,8 (AV:N/AC:L/PR:N/UI:R; atribuído pelo ADP da CISA)
- Tipo
- Use-after-free em XML (CWE-416). Execução de código arbitrário dentro do sandbox
- Afetado
- Google Chrome anterior à 157.0.8103.50 (registro CVE). O KEV diz que pode afetar navegadores baseados em Chromium como Edge e Opera
- Correção
- Chrome Stable 157.0.8103.50 (Windows e Mac 157.0.8103.50/.51, Linux 157.0.8103.50)
- Datas
- Publicação do Chrome Releases: 9 de novembro de 2026. Registro CVE publicado em 10 de novembro
- Exploração
- O Google diz que sabe de um exploit em circulação. Incluído no CISA KEV em 10 de novembro (prazo: 24 de novembro)
O risco de esperar
Esse tipo de falha pode dar a um invasor uma porta de entrada só por uma página ser visualizada. A execução de código dentro do sandbox não é um controle total do dispositivo, mas ataques a navegadores costumam usá-la como primeira etapa encadeada com outras falhas. Se isso aconteceu com este CVE não pode ser confirmado a partir de informações públicas.
O que é a vulnerabilidade
O registro CVE descreve um use-after-free (uso de memória depois de liberada) no componente XML do Chrome anterior à 157.0.8103.50. Um invasor remoto poderia executar código arbitrário dentro do sandbox por meio de uma página HTML manipulada. Nas notas de versão do Google, a gravidade é High, quem relatou é anônimo e a data do relatório é 6 de novembro de 2026.
- O usuário precisa abrir a página manipulada (UI:R no vetor CVSS).
- Nem o Google nem este site publicam passos de ataque ou código.
- O Google observa que os detalhes do bug podem permanecer restritos até que a maioria dos usuários tenha atualizado.
A mesma atualização também corrige outro use-after-free em XML (CVE-2026-125346), mas o Google mencionou um exploit em circulação apenas para o CVE-2026-125350. No total, a atualização traz 9 correções de segurança.
Quem é afetado
| Item | Detalhe |
|---|---|
| Produto | Google Chrome (desktop) |
| Versões afetadas | Anteriores à 157.0.8103.50 (registro CVE) |
| Correção (Stable) | Windows e Mac: 157.0.8103.50/.51. Linux: 157.0.8103.50 |
| Outros navegadores baseados em Chromium | O KEV diz que Edge, Opera e outros podem ser afetados. Cada fornecedor publica a sua própria correção |
| Microsoft Edge | No momento da verificação, as notas de segurança da Microsoft não listavam uma versão que incluísse este CVE, então não foi possível confirmar nenhum número de versão. Um comunicado de 9 de novembro diz que a Microsoft sabe de exploits em circulação e prepara uma correção (nenhum CVE é citado) |
| Solução alternativa | Nenhuma listada. A atualização é o remédio |
- O Google diz que a distribuição leva de dias a semanas. Você não precisa esperar que ela chegue; pode verificar manualmente.
- A publicação do Stable para desktop não cobre Android nem iOS. Se você os usa, procure atualizações na loja.
Como verificar se você é afetado
Verifique a versão do Chrome
Abra chrome://settings/help (menu, Ajuda, Sobre o Google Chrome). Abaixo da 157.0.8103.50 significa afetado. Abrir esta página também inicia a busca e o download da atualização.
Veja se há uma reinicialização pendente
Depois que a atualização é baixada, aparece um botão Reiniciar. A correção não fica ativa até você reiniciar. Máquinas mantidas ligadas por dias com muitas abas abertas são as que merecem atenção.
Verifique outros navegadores
Se você usa Edge, Opera ou outro navegador baseado em Chromium, verifique a atualização na página Sobre dele. A versão corrigida de cada fornecedor chega separadamente e nenhuma pôde ser confirmada no momento da redação (Checklist de inventário de ativos).
O que fazer hoje
Atualize o Chrome e reinicie (prioridade máxima)
Abra Sobre o Chrome para obter a atualização e clique em Reiniciar. Antes, salve o trabalho das abas e formulários abertos. Depois de reiniciar, verifique a versão de novo: deve ser 157.0.8103.50 ou posterior.
Atualize o Edge, o Opera e outros navegadores baseados em Chromium
Verifique as atualizações de cada navegador e instale a mais recente. Enquanto uma correção não estiver disponível, a sugestão própria deste site é evitar sites não confiáveis e remover extensões desnecessárias para reduzir a exposição. Isso não substitui a atualização.
(Administradores) Liste as versões da sua frota
Use o console de administração ou sua ferramenta de inventário para encontrar dispositivos com Chrome anterior à 157.0.8103.50. Trabalhadores remotos e máquinas que raramente reiniciam são os mais prováveis de ficar para trás.
(Administradores) Force a atualização e a reinicialização
Verifique se há políticas que bloqueiem atualizações ou fixem uma versão e remova-as. O Chrome tem políticas de aviso de reinicialização (como RelaunchNotification) que você pode configurar com um prazo. O prazo do KEV é 24 de novembro. O processo está descrito em O guia de correção de vulnerabilidades.
Depois, procure comportamentos incomuns
Para o período anterior à atualização, procure extensões que você não reconhece, página inicial ou mecanismo de busca alterados e acessos incomuns às senhas salvas. Se encontrar algo, considere trocar as senhas e isolar o dispositivo.
Status da exploração
- As notas de versão do Google dizem que ele sabe que existe um exploit para o CVE-2026-125350 em circulação.
- A CISA o incluiu no KEV em 10 de novembro de 2026 com prazo de 24 de novembro (versão do KEV 2026.11.10). O uso em ransomware consta como Desconhecido e a triagem forense como No.
- O registro CVE traz a avaliação da CISA (exploração ativa, não automatizável, impacto técnico total).
- Não foi possível confirmar informações públicas sobre escala, métodos ou invasores. Quantas falhas do Chrome exploradas ativamente este caso soma neste ano não é informado nas notas do Google e não foi verificado por este site, então não é afirmado aqui.
A visão deste site: confirme que foi reiniciado, não apenas atualizado
Um navegador continua executando o processo antigo depois que uma atualização é baixada, até ser reiniciado. Em dispositivos gerenciados, a entrega da atualização e a reinicialização pelo usuário são acompanhadas separadamente. Medir por «a versão em execução é 157.0.8103.50 ou posterior» reduz as falhas (Priorizar com CVSS, EPSS e KEV).
Fontes
- Google — Stable Channel Update for Desktop (Chrome Releases, 9 de novembro de 2026; versões corrigidas e a declaração de exploit em circulação)
- CVE.org — CVE-2026-125350 (publicado em 10 de novembro de 2026; inclui a inclusão pela CISA)
- NVD — CVE-2026-125350
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 10 de novembro, prazo em 24 de novembro)
- Microsoft — Microsoft Edge Security Release Notes (usadas para verificar se há uma correção do Edge)
Última verificação: 11 de novembro de 2026.
Leia a seguir
- Prática: O guia de correção de vulnerabilidades / Checklist de inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Termos: O que é um CVE? / O que é CVSS?