Chrome corrige falha explorada — versões anteriores à 152 seguem expostas

Em 3 de setembro de 2026, o Google lançou novas compilações do Chrome 152 para Windows, macOS e Linux com a correção da CVE-2026-85046, uma falha de alta gravidade no V8 que já tem exploração em circulação. O comunicado oficial do Chrome relaciona a vulnerabilidade a um pacote com 12 correções de segurança e informa que a distribuição ocorrerá gradualmente.

Isso deixa expostas as versões anteriores ao Chrome 152 e também as compilações iniciais da própria série 152. Em 4 de setembro, o alerta do NHS England Digital classificou como afetadas as instalações anteriores a 152.0.7977.82/.83 no Windows e macOS e a 152.0.7977.82 no Linux; o documento descreve a possibilidade de execução de código dentro do sandbox por meio de uma página HTML preparada.

Quais versões do Chrome contêm a correção

A versão mínima corrigida depende do sistema operacional. É necessário comparar a compilação completa, e não apenas confirmar que o navegador pertence à série 152.

• Windows: Chrome 152.0.7977.82 ou 152.0.7977.83.
• macOS: Chrome 152.0.7977.82 ou 152.0.7977.83.
• Linux: Chrome 152.0.7977.82.

Uma instalação 152.0.7977.75 ou 152.0.7977.76, por exemplo, ainda está abaixo do patamar corrigido. O mesmo vale para o Chrome 151 e para qualquer versão desktop mais antiga. Esse detalhe torna o título “Chrome 152” insuficiente como critério isolado de conformidade.

As compilações listadas pertencem ao canal Stable do Google Chrome para desktop. No Linux, organizações que obtêm o navegador por repositórios próprios ou da distribuição precisam verificar a versão efetivamente instalada, pois a disponibilidade de um pacote atualizado no repositório não prova que ele já foi aplicado ao computador.

O que a falha no V8 permite

A CVE-2026-85046 é uma vulnerabilidade de confusão de tipos no V8, mecanismo do Chrome responsável pela execução de JavaScript e WebAssembly. Nesse tipo de erro, o software trata um valor ou objeto como se fosse de outra categoria, o que pode levar a operações de memória não previstas.

O cenário documentado envolve uma página HTML especialmente preparada. Portanto, o conteúdo malicioso pode alcançar o componente vulnerável durante a navegação, sem depender da instalação de uma extensão. O efeito publicado para a CVE é a execução de código arbitrário dentro do sandbox do Chrome.

Execução dentro do sandbox não significa, por si só, controle completo do sistema operacional. Para escapar desse isolamento, o invasor precisaria de outra vulnerabilidade ou de uma cadeia adicional de exploração. Ainda assim, a existência de um exploit em circulação eleva a prioridade da correção porque o risco deixou de ser apenas teórico.

Não há, nos comunicados consultados, dados sobre vítimas, setores atingidos, volume de ataques ou indicadores públicos de comprometimento. O Google também mantém detalhes de bugs restritos enquanto uma parcela relevante da base ainda não recebeu a atualização, o que limita a análise pública da técnica empregada.

Como confirmar se a atualização chegou

No computador, abra o menu do Chrome, acesse Ajuda e depois Sobre o Google Chrome. A página exibe o número completo da versão e procura atualizações disponíveis; a orientação oficial para atualizar o Chrome esclarece que uma atualização pendente só é aplicada quando o navegador é reiniciado.

1. Compare os quatro blocos do número exibido com a compilação mínima do seu sistema.
2. Se aparecer a opção de reinicialização, salve o trabalho necessário e reinicie o Chrome.
3. Abra novamente a página “Sobre o Google Chrome” e confirme que ela mostra a compilação corrigida ou uma posterior.

Download concluído e correção ativa são estados diferentes. Enquanto a sessão antiga permanece aberta, os processos da compilação anterior podem continuar em execução; a presença dos arquivos novos no computador não substitui a conferência após a reinicialização.

Como o pacote está sendo liberado ao longo de dias ou semanas, alguns computadores podem não recebê-lo simultaneamente. Se a versão corrigida ainda não estiver disponível, a instalação permanece abaixo do patamar de segurança anunciado e deve ser verificada novamente assim que o canal de atualização oferecer o pacote.

Gestão corporativa exige três estados separados

Em ambientes corporativos, habilitar a atualização automática não demonstra que todos os endpoints já estão protegidos. O inventário precisa distinguir entre pacote disponibilizado, atualização pendente de reinicialização e compilação corrigida efetivamente em execução.

A versão completa pode ser consultada no console usado para gerenciar o Chrome ou na ferramenta de inventário de endpoints da organização. O relatório deve separar máquinas que ainda não receberam o pacote daquelas que já o baixaram, mas mantêm uma sessão antiga aberta. Computadores desligados, sem comunicação recente ou ausentes do inventário também devem permanecer marcados como pendentes.

Políticas que permitem adiar a reinicialização ampliam essa janela. Quando a gestão do navegador oferece esse controle, a organização pode definir avisos e um prazo compatível com suas regras internas, mas o indicador final de conformidade continua sendo a versão corrigida carregada após a reabertura do Chrome.

Até o momento, estão confirmados o lançamento de 3 de setembro, a exploração da CVE-2026-85046 e os limites mínimos de versão para os três sistemas desktop. A dimensão dos ataques continua desconhecida; por isso, a evidência operacional disponível é objetiva: instalações abaixo das compilações indicadas permanecem expostas, inclusive builds antigas do próprio Chrome 152.

Leia também:

• Veeam gravou credenciais em texto puro — duas versões fecham a falha
• Backup do WordPress vira gatilho de invasão — 3,2 milhões seguem expostos
• Falha no IBM Test Management pode derrubar o serviço — não há mitigação