Google Chrome fecha zero day no V8 explorado para executar código
Falha no motor V8 já tinha exploração ativa e foi corrigida em atualização com 230 correções.
Resumo rapido
O Google publicou uma atualização do Google Chrome que corrige 230 vulnerabilidades. Entre elas está a CVE-2026-87491, uma falha no V8 já explorada em ataques reais. O problema permite executar código dentro da sandbox do Google Chrome a partir de uma página HTML preparada para acionar o erro.
Neste artigo voce vai aprender:
- O que foi corrigido no Google Chrome.
- Por que a falha CVE-2026-87491 exige atenção imediata.
- Como uma página HTML maliciosa pode acionar o problema.
- Quais sinais e cenários merecem prioridade nas empresas.
- Quais ações práticas aplicar hoje para reduzir o risco.
Um pacote com 230 correções e um zero day no meio
O Google liberou uma atualização do Google Chrome que fecha 230 vulnerabilidades de uma só vez. A que puxa a atenção é a CVE-2026-87491, no V8, componente que o Google Chrome usa para processar JavaScript e WebAssembly.
O Google confirmou que a falha já vinha sendo explorada fora de laboratório. Ou seja, não é risco teórico esperando por uma prova de conceito: alguém construiu o ataque e colocou em uso antes de o patch existir.
A severidade atribuída foi média, sem pontuação CVSS informada no material publicado. A falha foi reportada em 6 de agosto de 2026 por Jihyeon Jeong, do Compsec Lab da Seoul National University, que recebeu US$ 2.500 pela divulgação responsável.
Escrita fora dos limites: o que isso significa na prática
A CVE-2026-87491 é uma escrita fora dos limites no V8. Em termos simples, o Google Chrome acaba gravando dados em uma região de memória que não deveria ser tocada daquela forma, e esse desvio é o que abre espaço para o atacante assumir o controle da execução.
De acordo com a descrição registrada na base NVD, versões do Google Chrome anteriores à 153.0.8010.36 permitiam que um atacante remoto executasse código arbitrário dentro da sandbox usando uma página HTML criada especificamente para explorar o erro.
A sandbox existe para conter o estrago e impedir que uma aba comprometida alcance o resto do sistema. Ainda assim, rodar código dentro dela é uma conquista relevante para o atacante, sobretudo quando encadeada com uma segunda falha de escape ou com engenharia social para levar a vítima até a página.
Quem deve tratar isso como prioridade
A correção vale para qualquer usuário ou empresa que rode o Google Chrome, com urgência maior onde a versão instalada é anterior à 153.0.8010.36. O risco cresce em ambientes cujo trabalho depende de abrir links externos, portais desconhecidos e páginas recebidas por e-mail ou mensagem.
- Usuários finais: qualquer pessoa com Google Chrome desatualizado fica exposta ao abrir uma página maliciosa.
- Empresas: equipes de TI devem varrer estações, notebooks e perfis que usam Google Chrome diariamente.
- Áreas sensíveis: finanças, jurídico, diretoria e atendimento recebem volume alto de links e anexos, então entram na frente da fila.
O Google também sinalizou que detalhes técnicos podem seguir restritos até que a maior parte da base de usuários esteja com a atualização aplicada.
O que fazer agora
A medida decisiva é atualizar o Google Chrome e reiniciar o aplicativo, porque a correção não passa a valer em sessões que continuam abertas. Em ambiente corporativo, deixar isso na mão do usuário é apostar na sorte: o time de TI precisa confirmar a versão efetivamente instalada em cada equipamento.
- Verifique se o Google Chrome está na versão 153.0.8010.36 ou posterior.
- Reinicie o Google Chrome após atualizar, pois a correção pode não valer para sessões antigas.
- Oriente usuários a evitar links inesperados até que a atualização seja confirmada.
- Monitore relatos de travamentos incomuns do Google Chrome após acesso a páginas externas.
- Inclua esta atualização no processo de gestão de vulnerabilidades da empresa.
Checklist pratico
- Inventarie os dispositivos que usam Google Chrome e identifique versões anteriores à 153.0.8010.36.
- Aplique a atualização oficial do Google Chrome e confirme que o aplicativo foi reiniciado.
- Comunique usuários sobre o risco de páginas HTML maliciosas e links inesperados.
- Registre a correção da CVE-2026-87491 no controle interno de vulnerabilidades.
- Revise políticas de atualização para que futuras correções críticas sejam aplicadas mais rápido.
Perguntas frequentes
Qual é a falha corrigida no Google Chrome?
É a CVE-2026-87491, um problema no V8 que permite executar código dentro da sandbox do Google Chrome a partir de uma página HTML maliciosa.
A vulnerabilidade já foi usada em ataques?
Sim. O Google informou estar ciente de exploração da CVE-2026-87491 em ambiente real, sem divulgar quem está por trás dos ataques nem quais alvos foram atingidos.
O que minha empresa deve fazer primeiro?
Confirmar a versão do Google Chrome em todos os dispositivos e atualizar qualquer instalação anterior à 153.0.8010.36.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua empresa a priorizar vulnerabilidades como a CVE-2026-87491, validar atualizações críticas e reduzir a exposição de usuários a ataques baseados em páginas maliciosas.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://thehackernews.com/2026/09/chrome-v8-zero-day-exploited-in-wild.html
Compartilhe nas redes sociais:
