Google corrige falha crítica explorada ativamente em todas versões do Chromium

Uma atualização de emergência lançada pelo Google corrigiu doze vulnerabilidades de segurança no navegador Chrome, destacando-se a falha crítica catalogada como CVE-2026-85046. Com pontuação 8.8 na escala CVSS, a brecha afeta o motor V8 — estrutura que transforma o código JavaScript em instruções nativas do processador via compilação Just-in-Time (JIT). Um erro tipológico nos compiladores fez o sistema confundir mapeamentos de dados genéricos com reservados, permitindo que invasores leiam ou escrevam fora dos limites da memória a partir de páginas HTML maliciosas. Trata-se do sexto zero-day explorado ativamente e corrigido no navegador nos primeiros oito meses de 2026.

A recompensa de mil dólares paga ao pesquisador Salvatore Gulizia sugere, na análise do Professor, que a empresa já detinha conhecimento parcial prévio da falha ou que a notificação inicial foi incompleta, sem demonstrar a cadeia inteira de invasão. O silêncio do Google sobre os detalhes técnicos da correção funciona como uma tática defensiva de atraso enquanto os sistemas são atualizados, mantendo em segredo a identidade dos invasores, as vítimas e a falha secundária necessária para romper os sandboxes e atingir o sistema operacional.

Como a estrutura Chromium e o motor V8 são compartilhados por navegadores como Microsoft Edge e Brave, além de diversas aplicações baseadas em Electron, a vulnerabilidade atinge todo o ecossistema. O Professor vê nisso dois cenários prováveis: uma janela de risco decorrente da lentidão na atualização de softwares terceiros, que permite a cibercriminosos fazer engenharia reversa do remendo para criar novas armas, ou a contenção do ataque pela política de atualizações automáticas e silenciosas do Google. No entanto, o cenário reforça que a correção pontual do mecanismo JIT se tornou insustentável, exigindo a adoção urgente de medidas disruptivas de isolamento de memória e uma reestruturação arquitetônica mais radical no V8.

Fontes: 1