CERT-In alerta usuários do Chrome enquanto Google corrige 37 falhas de segurança, incluindo sete críticas

Usuários de computadores são orientados a instalar correções de segurança do Chrome

A Equipe Indiana de Resposta a Emergências Informáticas, CERT-In, emitiu um alerta em 14 de outubro de 2026 sobre vulnerabilidades no Google Chrome que poderiam permitir que invasores executassem códigos maliciosos, obtivessem informações confidenciais ou prejudicassem os computadores afetados. O Google lançou correções um dia antes para 37 falhas de segurança, incluindo sete classificadas como críticas.

As versões afetadas são as do Chrome anteriores à 155.0.8059.79 no Linux e à 155.0.8059.79/.80 no Windows e macOS. Os usuários devem abrir a página Sobre o Google Chrome, verificar se há uma atualização e reiniciar o navegador quando solicitado para concluir a instalação.

O anúncio da versão para computadores do Google, datado de 13 de outubro, lista sete vulnerabilidades críticas, 29 classificadas como de alta gravidade e uma como de gravidade média. As falhas afetam recursos de gráficos, documentos, redes, senhas e o software que executa instruções de sites.

O Google informa que a distribuição pode levar dias ou semanas. Portanto, quem verificar imediatamente talvez precise conferir novamente à medida que a atualização chegar a mais computadores.

Quais versões precisam de atualização?

O alerta da CERT-In abrange o Chrome para computadores com Windows, macOS e Linux. O Centro de Coordenação da Equipe de Resposta a Emergências Informáticas de Hong Kong, HKCERT, lista as mesmas versões afetadas e recomenda instalar as correções do fornecedor.

• Linux: instale o Chrome 155.0.8059.79 ou posterior.
• Windows: instale o Chrome 155.0.8059.79/.80 ou posterior.
• macOS: instale o Chrome 155.0.8059.79/.80 ou posterior.

O número da versão é importante porque as correções são distribuídas pela atualização do navegador. Um computador ainda pode acessar sites normalmente mesmo que esteja executando uma versão com essas vulnerabilidades. Para residências, a tarefa imediata é verificar cada computador. Para organizações, é identificar quais máquinas receberam a atualização e concluíram a reinicialização necessária.

A versão do Chrome aparece em Ajuda e, em seguida, Sobre o Google Chrome, no menu aberto pelos três pontos no canto superior direito do navegador. Essa página também verifica se há uma atualização disponível.

Sete falhas críticas afetam funções essenciais do navegador

O Google identifica a CVE-2026-110152 como uma falha crítica de estouro de buffer no ANGLE, um componente gráfico usado pelo Chrome. Um buffer é uma área de memória reservada para armazenar dados. O estouro ocorre quando um software grava além dos limites dessa área, o que pode danificar dados próximos ou permitir que um invasor interfira na execução de um programa.

Segundo o aviso de lançamento do Google, Zhenpeng (Leo) Lin, da depthfirst, reportou a vulnerabilidade no ANGLE em 30 de setembro. Entre as possíveis consequências estão falhas e a execução de códigos maliciosos.

As outras seis vulnerabilidades críticas são erros de uso após liberação de memória. Elas afetam os componentes Browser, PDF, Network, Core, SVG e Media, que abrangem funções desde o processamento de documentos e gráficos até a comunicação pela rede.

Um erro de uso após liberação ocorre quando o software continua usando um trecho de memória depois de liberá-lo. É como se um programa tratasse um antigo espaço de armazenamento como se o conteúdo ainda lhe pertencesse, embora esse espaço possa agora conter outra coisa. Um invasor pode conseguir influenciar o conteúdo que o substituiu e interromper ou redirecionar o programa.

O Google lista os identificadores das seis vulnerabilidades críticas como CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 e CVE-2026-110151. Junto com a falha no ANGLE, elas correspondem a sete das 37 correções, ou cerca de uma em cada cinco.

O que pode acontecer em um computador afetado?

A CERT-In alerta que a exploração das falhas pode levar à execução de código arbitrário, à divulgação de informações confidenciais ou à negação de serviço. Em termos cotidianos, esses resultados significam executar instruções escolhidas por um invasor, expor dados privados ou fazer com que o software pare de funcionar corretamente.

O boletim de segurança do Chrome da HKCERT, também datado de 14 de outubro, lista mais dois possíveis impactos: elevação de privilégio e desvio de restrições de segurança. O primeiro significa obter permissões além das normalmente concedidas; o segundo, contornar uma regra de proteção.

A HKCERT classifica o boletim como de risco médio, enquanto a lista do Google classifica sete falhas individuais como críticas. As duas avaliações têm escopos diferentes: a HKCERT atribui uma classificação ao boletim como um todo, enquanto o Google classifica cada vulnerabilidade separadamente. A recomendação da HKCERT é instalar as correções.

O boletim da HKCERT enumera as CVEs de CVE-2026-110136 a CVE-2026-110172, uma sequência que contém os 37 identificadores. Os números CVE servem como referências para ajudar fabricantes de software e administradores a acompanhar o mesmo problema de segurança em avisos e atualizações.

Senhas, JavaScript e documentos também são afetados

Entre as 29 correções de alta gravidade do Google estão problemas no V8, o mecanismo JavaScript do Chrome. O JavaScript fornece instruções que tornam interativos muitos sites. Uma falha nesse mecanismo pode ser acionada enquanto o navegador processa essas instruções.

As falhas no V8 incluem um erro de confusão de tipos, CVE-2026-110140, e dois erros de uso após liberação, CVE-2026-110168 e CVE-2026-110169. A confusão de tipos ocorre quando o software trata um dado como se fosse de outro tipo, o que pode levar a operações de memória inseguras.

O componente Passwords do Chrome tem três falhas de alta gravidade: um vazamento de informações e dois erros de uso após liberação. Outras correções envolvem Extensions, WebRTC, DOM, Canvas e PDFium. Esses componentes dão suporte a extensões, comunicações do navegador, estrutura de páginas, desenho e processamento de PDFs.

O Google também lista falhas relacionadas a permissões no ReadingMode, Installer, Updater e Mojo. Um erro de autorização, por exemplo, diz respeito a verificar corretamente se uma ação é permitida. A única falha de gravidade média é uma vulnerabilidade de uso após liberação no FileSystem, identificada como CVE-2026-110142.

A abrangência da lista explica por que a atualização é importante para além de qualquer atividade específica de navegação. O Chrome processa textos, scripts, gráficos, documentos e dados de rede, e esta versão corrige vulnerabilidades em várias dessas etapas de processamento.

Quem reportou as vulnerabilidades?

Segundo os créditos do Google, Xinyang Ge, da Anthropic, reportou em 28 de setembro a vulnerabilidade de alta gravidade CVE-2026-110169 no V8, com auxílio do Claude. O aviso identifica o pesquisador, a organização e o auxílio envolvido, mas não descreve em mais detalhes o papel do Claude.

O Google também credita a Xinyang Ge várias outras descobertas, incluindo vulnerabilidades críticas no PDF, SVG e Media. A própria empresa reportou os erros críticos no Browser, Network e Core. Entre os outros colaboradores mencionados estão Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa e Andrew Boni.

As datas de divulgação mostram que a atualização reúne descobertas feitas ao longo de vários meses. A lista do Google inclui uma vulnerabilidade no Bindings reportada em 25 de março e vulnerabilidades mais recentes no Media, reportadas em 6 de outubro. Todas estão sendo corrigidas nesta versão estável.

Por que alguns detalhes técnicos continuam restritos

O Google informa que o acesso a alguns registros de falhas pode continuar restrito enquanto os usuários recebem a atualização. Srinivas Sista, que publicou o anúncio da versão do Google Chrome, explicou a política de divulgação da empresa:

O acesso aos detalhes e links das falhas pode permanecer restrito até que a maioria dos usuários receba uma correção.

O Google também afirma que as restrições podem continuar quando uma vulnerabilidade afeta uma biblioteca usada por outros projetos que ainda não a corrigiram. Uma biblioteca é um componente de software reutilizável; por isso, o mesmo erro subjacente pode exigir o trabalho de várias equipes de desenvolvimento.

O aviso da versão identifica os componentes afetados e os tipos de erro, mas limita o acesso a alguns registros técnicos mais detalhados. Para os usuários, a informação prática é qual versão contém as correções. Para os administradores, os identificadores permitem comparar esta versão com os sistemas de acompanhamento de vulnerabilidades e os inventários de software.

Dos relatos de pesquisadores ao alerta público

As principais datas mostram como descobertas individuais se transformaram em uma atualização do navegador e, depois, em alertas públicos de segurança:

• 28 de setembro de 2026: Xinyang Ge, da Anthropic, reportou a CVE-2026-110169 no V8, com auxílio do Claude.
• 30 de setembro: Zhenpeng (Leo) Lin, da depthfirst, reportou o estouro crítico de buffer no ANGLE.
• De 1º a 6 de outubro: o Google e outros pesquisadores reportaram várias outras vulnerabilidades críticas e de alta gravidade incluídas na atualização.
• 13 de outubro: o Google anunciou a atualização estável do Chrome com 37 correções de segurança.
• 14 de outubro: a CERT-In emitiu seu alerta, e a HKCERT publicou um boletim que abrange os mesmos 37 identificadores.

A data de lançamento do Google marca o início da distribuição. Como a empresa informa que a implementação pode levar dias ou semanas, a atualização continuará sendo distribuída após o anúncio. Por isso, vale verificar novamente os computadores que inicialmente não mostrarem uma atualização disponível.

Como concluir a atualização

Os usuários do Chrome podem começar pela tela de atualização integrada ao navegador. As etapas são simples:

• Abra o Chrome e selecione o menu de três pontos no canto superior direito.
• Selecione Ajuda e, em seguida, Sobre o Google Chrome.
• Aguarde o Chrome verificar se há uma atualização disponível e baixá-la.
• Salve qualquer trabalho inacabado e selecione Reiniciar se solicitado.
• Volte à página Sobre para conferir a versão instalada.

Reiniciar é importante porque baixar a atualização e usar o navegador atualizado são etapas distintas. Manter aberta uma sessão antiga do navegador pode atrasar a conclusão da instalação.

As organizações devem conferir as versões instaladas em seus computadores, incluindo os dispositivos cujos usuários raramente fecham o navegador. O objetivo concreto é confirmar que as máquinas estão executando a versão com as correções e que qualquer reinicialização necessária foi concluída.

Quem ainda não encontrar a atualização deve verificar novamente durante a distribuição do Google. O aviso oficial prevê dias ou semanas para a implementação, um prazo maior do que esperar que todos os computadores a recebam no dia do anúncio.

Usuários do Edge também devem ficar atentos às correções

O Microsoft Edge usa o Chromium, plataforma de navegação que também serve de base para o Chrome. Por isso, algumas vulnerabilidades desse software compartilhado também podem exigir correções no Edge.

A Microsoft reconheceu as correções de segurança mais recentes do Chromium em um comunicado datado de 13 de outubro e afirmou que estava trabalhando em uma atualização. No momento do alerta, a atualização de segurança correspondente para o canal estável ainda não havia sido lançada, e a Microsoft não havia informado uma data de lançamento.

Os usuários do Edge devem verificar se há uma atualização da Microsoft quando ela estiver disponível. Quem usa os dois navegadores precisa conferir cada um: o Chrome recebe sua atualização de segurança pelo Google, enquanto o Edge recebe a sua pela Microsoft.

Principais pontos

• A CERT-In alertou os usuários do Chrome para computadores em 14 de outubro de 2026 sobre vulnerabilidades que poderiam expor dados, interromper o funcionamento de programas ou permitir a execução de códigos maliciosos.
• A atualização do Google de 13 de outubro corrige 37 falhas: sete críticas, 29 de alta gravidade e uma de gravidade média.
• As versões corrigidas são a 155.0.8059.79 para Linux e a 155.0.8059.79/.80 para Windows e macOS, ou versões posteriores.
• Os usuários devem acessar Ajuda e, em seguida, Sobre o Google Chrome, instalar a atualização e reiniciar o navegador quando solicitado.
• O Google informa que a distribuição pode levar dias ou semanas. A Microsoft ainda não havia anunciado uma data para a atualização estável correspondente do Edge.