A Google lançou em 9 de junho uma atualização de emergência para o navegador Chrome, corrigindo a quinta vulnerabilidade de dia zero (zero-day) explorada ativamente em ataques reais ao longo de 2026. A falha, registrada como CVE-2026-11645, reside no motor JavaScript V8 e foi classificada como de alta gravidade, marcando um novo capítulo na escalada de ameaças direcionadas ao navegador mais usado do mundo.
O mecanismo da falha CVE-2026-11645 no motor V8
A CVE-2026-11645 é uma vulnerabilidade do tipo leitura e escrita fora dos limites (out-of-bounds read and write) no V8, o motor responsável por interpretar e executar código JavaScript e WebAssembly no Chrome. Na prática, um invasor pode explorar a falha simplesmente induzindo a vítima a acessar uma página HTML especialmente criada. Uma vez dentro do sandbox do navegador, o código malicioso consegue corromper a memória (heap corruption), lendo dados que deveriam estar protegidos e, mais grave ainda, escrevendo informações arbitrárias em regiões vizinhas do buffer de memória.
O ponto crítico desta vulnerabilidade é que ela serve como um trampolim para contornar mecanismos modernos de proteção do sistema operacional, como o ASLR (Address Space Layout Randomization). Ao permitir a manipulação direta da memória, o ataque abre caminho para a execução de código arbitrário, um passo fundamental para comprometer todo o sistema. Por esse motivo, mesmo sendo classificada como “High” (alta) e não “Critical” (crítica), o impacto real da exploração é considerado severo.
A descoberta do bug foi feita por um pesquisador anônimo, que reportou a falha ao programa de recompensas da Google em 27 de abril. Pelo trabalho, o pesquisador recebeu uma recompensa de US$ 55 mil (aproximadamente 8,8 milhões de ienes). A Google levou cerca de seis semanas para desenvolver e distribuir a correção, um prazo dentro do esperado para vulnerabilidades deste calibre.
Atualização de junho: um pacote robusto com 74 correções
A versão estável 149.0.7827.102 (para Windows e Linux) e 149.0.7827.103 (para macOS) não trata apenas do zero-day. O pacote de atualização inclui um total de 74 correções de segurança, das quais 17 foram classificadas como “Critical” pela própria Google. As falhas abrangem uma vasta gama de componentes internos do navegador, incluindo Ozone (camada de composição de janelas), Bluetooth e o sistema de preenchimento automático (Autofill).
A Google, seguindo seu protocolo de segurança, optou por não divulgar os detalhes técnicos completos da CVE-2026-11645 até que a grande maioria dos usuários tenha instalado a atualização. A nota oficial no blog do Chrome Releases destaca que “o acesso a detalhes do bug e links pode permanecer restrito até que a maioria dos usuários tenha sido atualizada com a correção”, uma prática padrão para evitar que criminosos desenvolvam novos exploits antes do patch estar disseminado.
Cronologia de ataques: o ritmo acelerado dos zero-days em 2026
O ano de 2026 tem sido particularmente agitado para a equipe de segurança do Chrome. O calendário de explorações ativas mostra uma regularidade preocupante, com falhas sendo descobertas e corrigidas em intervalos cada vez mais curtos.
| Mês da correção | CVE | Componente afetado | Tipo de vulnerabilidade |
|---|---|---|---|
| Fevereiro | CVE-2026-2441 | Processamento de valores de fonte CSS (CSSFontFeatureValuesMap) | Corrupção de iterador |
| Março | CVE-2026-3909 | Skia (biblioteca gráfica 2D) | Escrita fora dos limites |
| Março | CVE-2026-3910 | V8 / WebAssembly | Implementação inadequada |
| Abril | CVE-2026-5281 | Dawn (implementação do WebGPU) | Uso após liberação (Use-After-Free) |
| Junho | CVE-2026-11645 | V8 (JavaScript) | Leitura e escrita fora dos limites |
Para efeito de comparação, durante todo o ano de 2025, foram confirmados oito zero-days explorados ativamente, muitos dos quais reportados pela equipe de análise de ameaças da Google, o TAG (Threat Analysis Group). Com cinco casos confirmados apenas no primeiro semestre de 2026, o ritmo atual sugere que o total anual pode igualar ou até superar o do ano anterior, evidenciando a pressão constante que alvos de alto valor como o Chrome sofrem.
O que significa uma vulnerabilidade “fora dos limites” no V8
Para entender a gravidade de uma falha como a CVE-2026-11645, é útil saber como o motor V8 gerencia a memória. Quando um programa JavaScript declara um array, por exemplo, o V8 aloca um bloco contínuo de memória para armazenar os dados. Uma vulnerabilidade de leitura e escrita fora dos limites ocorre quando o código consegue acessar endereços de memória além desse bloco alocado. É como se um funcionário pudesse abrir gavetas que não são da sua mesa ou, pior, pudesse colocar documentos dentro das gavetas de outros departamentos.
Este tipo de bug é particularmente perigoso porque permite ao invasor vazar informações sensíveis de outras partes da memória (como senhas ou chaves de criptografia) e sobrescrever estruturas de controle do próprio V8 ou do sistema, pavimentando o caminho para a execução de código arbitrário e o controle total do processo do navegador.
Verificação e instalação imediata do patch
O Chrome é configurado para atualizar automaticamente na próxima vez que for reiniciado. No entanto, para garantir a proteção imediata contra uma falha que já está sendo explorada, o usuário pode forçar a verificação manualmente. Basta acessar o menu do Chrome (os três pontos verticais no canto superior direito), navegar até “Ajuda” e clicar em “Sobre o Google Chrome”. A página exibirá a versão atual e iniciará a busca por atualizações pendentes. Após a instalação, é necessário reiniciar o navegador. A versão final corrigida deve ser a 149.0.7827.102 (Windows e Linux) ou 149.0.7827.103 (macOS) ou superior.
Manter o navegador atualizado continua sendo a medida de segurança individual mais eficaz contra ameaças cibernéticas, especialmente em um cenário onde a frequência de vulnerabilidades de dia zero não dá sinais de desaceleração. A superfície de ataque do Chrome, com centenas de milhões de linhas de código e uma arquitetura complexa, continuará sendo um foco primário para atacantes, o que torna a rápida aplicação de patches uma rotina indispensável para qualquer usuário.
