O Google lançou uma atualização de segurança para o Chrome que corrige 12 vulnerabilidades no navegador. Entre elas está a CVE-2026-85046, uma falha considerada especialmente preocupante porque, segundo a própria empresa, já existe um exploit sendo utilizado em ataques reais.
Em seu comunicado de segurança publicado na quinta feira, o Google confirmou estar ciente de que um exploit para a CVE-2026-85046 existe e está sendo usado ativamente. Como costuma acontecer nesses casos, a empresa não revelou quem está explorando a vulnerabilidade, quais seriam os alvos ou a dimensão dos ataques.
Para usuários, a recomendação prática é simples: atualizar o Chrome. A correção chegou às versões 152.0.7977.82 e 152.0.7977.83 para Windows e macOS, enquanto usuários de Linux devem receber a versão 152.0.7977.82.
A distribuição acontece gradualmente. Portanto, nem todos os dispositivos necessariamente receberão a atualização ao mesmo tempo.
O que é a vulnerabilidade CVE 2026-85046?
A CVE-2026-85046 recebeu pontuação CVSS 8.8 e afeta o V8, mecanismo responsável pela execução de JavaScript e WebAssembly no Google Chrome.
Tecnicamente, o problema é classificado como uma vulnerabilidade de confusão de tipos, conhecida como type confusion. Esse tipo de falha acontece quando um programa trata determinado objeto ou estrutura de dados como se fosse de outro tipo, criando condições inesperadas de acesso à memória.
No caso identificado no V8, um invasor remoto poderia preparar uma página HTML especialmente desenvolvida para explorar o problema. De acordo com a descrição pública da vulnerabilidade, uma exploração bem sucedida pode permitir a execução de código arbitrário dentro da sandbox do navegador.
Isso significa que não estamos falando simplesmente de uma página causando um travamento no Chrome. Existe potencial para manipulação da memória e execução de código dentro do ambiente isolado utilizado pelo navegador.
É justamente por isso que a combinação entre gravidade técnica e exploração confirmada torna essa atualização particularmente importante.
Como a falha foi descoberta
A vulnerabilidade foi reportada ao Google em 4 de agosto de 2026 pelo pesquisador de segurança Salvatore Gulizia, conhecido também como Serotav. Pela descoberta e divulgação responsável, o pesquisador recebeu uma recompensa de US$ 1.000 pelo programa de bug bounty.
Gulizia publicou posteriormente uma análise técnica explicando a origem do problema no V8. Segundo sua pesquisa, o erro ocorre nos compiladores do mecanismo e pode fazer com que um array com determinado formato interno receba um mapa incompatível com os dados realmente armazenados.
A consequência é particularmente interessante para pesquisadores de segurança. A inconsistência pode ser transformada em primitivas capazes de realizar leitura e escrita arbitrárias no heap JavaScript.
Traduzindo do dialeto dos pesquisadores de navegador para algo mais humano: o Chrome passa a interpretar estruturas internas da memória de maneira incorreta, criando uma oportunidade para que um invasor manipule dados que normalmente deveriam permanecer protegidos.
Google limita detalhes enquanto usuários recebem a atualização
O Google não publicou detalhes sobre as campanhas que estariam explorando a CVE-2026-85046. Também não informou quais grupos poderiam estar envolvidos ou quantos usuários teriam sido afetados.
Essa ausência de informações não é incomum quando uma vulnerabilidade zero day ainda está em processo de correção nos computadores dos usuários. Fabricantes frequentemente restringem detalhes técnicos temporariamente para reduzir as informações disponíveis para possíveis atacantes enquanto a atualização é distribuída.
O ponto mais importante, portanto, não é descobrir imediatamente quem está explorando a falha. É garantir que o navegador esteja atualizado.
Usuários podem verificar a versão instalada acessando as configurações do Chrome e abrindo a seção Sobre o Google Chrome. O navegador normalmente procura atualizações automaticamente, mas uma verificação manual pode acelerar o processo.
Depois da instalação, vale reiniciar o navegador para garantir que a nova versão esteja efetivamente em execução. Parece uma recomendação óbvia, mas atualização instalada esperando um navegador ser reiniciado não oferece exatamente o tipo de proteção que imaginamos quando lemos a palavra “corrigido”.
Sexta vulnerabilidade zero day do Chrome corrigida em 2026
A CVE-2026-85046 é a sexta vulnerabilidade zero day do Chrome corrigida pelo Google em 2026 com exploração conhecida.
Antes dela, a empresa já havia corrigido as vulnerabilidades CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 e CVE-2026-11645.
O número ajuda a mostrar por que navegadores permanecem entre os softwares mais interessantes para atacantes. Eles executam conteúdo vindo constantemente da internet, processam JavaScript, imagens, vídeos, documentos e diferentes formatos de dados, além de manter sessões autenticadas em serviços importantes.
Isso não significa que o Chrome seja necessariamente menos seguro simplesmente porque vulnerabilidades são descobertas. Navegadores modernos possuem uma superfície de ataque enorme e são analisados continuamente por pesquisadores, empresas de segurança e criminosos.
O fator decisivo para o usuário é o intervalo entre a descoberta de uma vulnerabilidade, a disponibilização da correção e a instalação efetiva dessa atualização.
O que usuários do Chrome devem fazer agora?
Quem utiliza Google Chrome no Windows ou macOS deve verificar se o navegador foi atualizado para a versão 152.0.7977.82, 152.0.7977.83 ou posterior. No Linux, a versão corrigida informada pelo Google é a 152.0.7977.82 ou posterior.
Como existe exploração ativa confirmada, não há grande vantagem em adiar essa atualização. Quanto maior o período utilizando uma versão vulnerável, maior permanece a janela de exposição.
Empresas também devem verificar seus sistemas de gerenciamento de navegadores e políticas de atualização, principalmente em ambientes nos quais versões do Chrome são controladas centralmente.
Uma vulnerabilidade zero day não significa automaticamente que todo usuário do Chrome foi atacado. Significa que a vulnerabilidade era conhecida e explorada por atacantes antes de a correção estar amplamente disponível.
E essa diferença importa. Não existe motivo para pânico, mas existe um excelente motivo para atualizar o navegador agora. Em segurança digital, ignorar uma correção para uma vulnerabilidade que sabemos estar sendo explorada costuma ser uma aposta desnecessariamente criativa.
