CVE-2026-125350: Zero-Day em XML do Chrome Explorada na Natureza

O Google lançou uma atualização de segurança de emergência abordando a CVE-2026-125350, uma vulnerabilidade zero-day de alta gravidade no componente XML do Google Chrome que já está sendo explorada em ataques no mundo real. O problema é classificado como uma falha de segurança de memória de uso após liberação e foi relatado anonimamente ao Google em 6 de novembro de 2026.

O Google confirmou em 9 de novembro que existe um exploit para a vulnerabilidade em circulação. No entanto, a empresa não revelou como os atacantes estão fazendo uso do exploit, quais organizações ou indivíduos estão sendo alvos, ou se a vulnerabilidade está sendo encadeada com outras falhas de escape de navegador ou sandbox. O acesso ao bug subjacente do Chromium permanece restrito enquanto os usuários implementam a atualização de segurança.

A correção está incluída no Chrome Stable 157.0.8103.50/.51 para Windows e macOS e 157.0.8103.50 para Linux. O Google também lançou o Extended Stable 156.0.8078.96 para Windows e macOS com uma correção para a mesma vulnerabilidade.

Contate Vendas

CVE-2026-125350 é o oitavo zero-day do Chrome conhecido por ter sido explorado em campo durante 2026, após CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 e CVE-2026-87491. A partir de 10 de novembro, a SecurityWeek reporta que a CISA ainda não adicionou a nova falha revelada ao seu catálogo de Vulnerabilidades Exploradas Conhecidas.

Vulnerabilidades de uso após liberação ocorrem quando o software continua a referenciar memória após essa memória ter sido liberada. Dependendo do código afetado e da técnica de exploração, tal corrupção de memória pode resultar em falhas no navegador, corrupção de dados ou execução de código controlado por atacantes. O Google não revelou o impacto exato alcançado nos ataques observados, então os defensores devem evitar supor que uma cadeia de comprometimento completo documentada publicamente já existe.

As equipes de segurança podem usar a Plataforma de Inteligência de Detecção Nativa de IA da SOC Prime para fortalecer a cobertura de detecção contra exploração de navegador, processos filhos suspeitos, execução de payloads e comportamento subsequente de atacantes em ambientes SIEM, EDR, XDR e Data Lake.

Detecte a CVE-2026-125350 combinando o inventário de versões de navegador com telemetria de endpoint e de rede, monitorando processos suspeitos iniciados pelo Chrome, quedas anormais do navegador, downloads inesperados de payloads e comportamento pós-exploração ocorrendo após visitas a sites potencialmente maliciosos.

O conteúdo de detecção pode não estar disponível para cada CVE. Verifique a Plataforma SOC Prime para cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente à medida que novas inteligências de ameaça e conteúdo de detecção são continuamente adicionados.

Análise da CVE-2026-125350

A CVE-2026-125350 afeta lançamentos vulneráveis do Google Chrome contendo a condição de uso após liberação no componente XML do navegador. O Google classifica a vulnerabilidade como de alta gravidade, mas não publicou um score ou vetor CVSS em seu comunicado de 9 de novembro.

Um uso após liberação ocorre quando a memória é liberada mas o software, posteriormente, tenta acessar o mesmo local na memória. Se um atacante puder influenciar os conteúdos posteriormente colocados nessa memória, a referência obsoleta pode potencialmente ser manipulada para alterar o comportamento do programa.

Em um navegador da web, vulnerabilidades de segurança de memória são particularmente importantes porque conteúdo controlado por atacantes é rotineiramente processado por componentes complexos do navegador. No entanto, o Google ainda não revelou o objeto XML exato envolvido, a sequência necessária para acionar o bug ou o conteúdo específico da web usado por atacantes.

A questão do Chromium associada à vulnerabilidade está atualmente restrita. O Google rotineiramente limita o acesso a detalhes técnicos do bug até que a maioria dos usuários tenha recebido o patch, e as restrições podem se manter por mais tempo quando uma falha também existe em software de terceiros.

Como resultado, vários detalhes técnicos importantes permanecem desconhecidos. As fontes disponíveis não estabelecem se a exploração requer simplesmente visitar uma página maliciosa, abrir conteúdo XML especialmente criado, interagir com uma página ou outro mecanismo de entrega. Também não confirmam se os atacantes estão conseguindo executar código dentro de um renderizador do Chrome, escapar do sandbox do navegador ou combinar a vulnerabilidade com outra falha.

O Hacker News observa que bugs de uso após liberação podem potencialmente levar a corrupção de dados, falhas ou execução de código arbitrário. Isso descreve o impacto geral de segurança desta classe de vulnerabilidade, em vez de uma descrição confirmada pelo Google da cadeia exata de exploração usada contra CVE-2026-125350.

Mesmo assim, a declaração do Google é significativa porque a empresa confirma explicitamente que um exploit existe em campo. Isso significa que a vulnerabilidade deve ser tratada como uma prioridade de patching imediato, mesmo que as informações técnicas sobre os ataques sejam limitadas.

A vulnerabilidade foi relatada anonimamente ao Google em 6 de novembro de 2026. Apenas três dias depois, em 9 de novembro, o Google lançou versões Stable corrigidas para Windows, macOS e Linux e reconheceu a exploração ativa.

A atualização contendo a correção do zero-day aborda nove problemas de segurança no total. Outras falhas de alta gravidade incluem um problema de recurso não inicializado no WebGL, autorização incorreta no FileSystem, um estouro de buffer no Compositing, uma escrita fora dos limites no GPU, uma vulnerabilidade de confusão de tipos no V8 e outra questão de uso após liberação no XML rastreada como CVE-2026-125346. Duas vulnerabilidades de gravidade média no GPU também foram corrigidas.

A presença da CVE-2026-125346 na mesma versão é digna de distinção da vulnerabilidade ativamente explorada. Ambas as questões envolvem condições de uso após liberação na funcionalidade XML do Chrome, mas o Google apenas declarou que a CVE-2026-125350 está sendo explorada em campo.

O Google lançou as seguintes versões Stable corrigidas:

Usuários do Extended Stable no Windows e macOS devem mudar para a versão 156.0.8078.96 ou superior.

Como as atualizações do Chrome são implantadas progressivamente, um navegador instalado pode não receber imediatamente a versão corrigida. Os usuários e administradores devem, portanto, verificar a versão em execução atual em vez de assumir que as atualizações automáticas já corrigiram o problema.

A situação da PoC da CVE-2026-125350 também requer cautela. O Google confirma que os atacantes possuem um exploit funcional, mas nem o Google nem os dois relatórios fornecidos identificam uma prova de conceito pública reproduzindo o exploit. Os detalhes do bug do Chromium permanecem restritos, o que limita a capacidade dos defensores de reproduzir a vulnerabilidade ou identificar artefatos específicos do exploit.

Para a detecção da CVE-2026-125350, as organizações devem começar com a gestão de exposição. As equipes de segurança devem inventariar versões do Chrome através dos endpoints e identificar sistemas executando versõ…ponentes recém-baixados que aparecem imediatamente após a atividade do navegador.

Endpoint telemetry can provide additional hunting opportunities. Defenders should investigate unusual processes originating from Chrome, particularly command interpreters, scripting engines, system utilities, or newly downloaded executables that appear immediately following browser activity.

Comportamentos suspeitos podem incluir execução inesperada de PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe ou outras utilidades a partir de uma árvore de processos relacionada ao Chrome. Tal atividade não é específica desta vulnerabilidade e não deve por si só ser tratada como prova de exploração, mas pode fornecer um sinal comportamental útil quando combinada com versões vulneráveis do navegador e atividade de navegação suspeita.

As equipes de segurança também devem examinar a telemetria de endpoint em busca de falhas de Chrome ou falhas de renderização incomuns seguidas por novas execuções de processos, criação de arquivos, acesso a credenciais, persistência ou conexões de rede. Apenas falhas de navegador são comuns e, portanto, requerem correlação com outras evidências.

Proxy da web, DNS, gateway de segurança da web e telemetria do navegador de endpoint podem ajudar a reconstruir a atividade do usuário imediatamente antes da execução suspeita. As organizações devem preservar o histórico de navegação relevante e registros de rede se a exploração for suspeita, particularmente porque o Google não publicou informações sobre os sites ou infraestrutura utilizados nos ataques observados.

Atualmente, não há IOCs publicados pelo fornecedor para a CVE-2026-125350, como domínios maliciosos, endereços IP, hashes de payload ou infraestrutura de atacantes. O Google tampouco divulgou os atores de ameaça responsáveis, organizações afetadas, escopo da campanha ou direcionamento geográfico.

Esta falta de indicadores estáticos torna o monitoramento baseado em comportamento e o gerenciamento rápido de versão do navegador especialmente importantes. Uma busca baseada exclusivamente em hashes ou domínios conhecidos não pode determinar de forma confiável se um ambiente encontrou exploração quando a infraestrutura de ataque pública permanece desconhecida.

As organizações que utilizam navegadores baseados no Chromium, como Microsoft Edge, Brave, Opera e Vivaldi, devem monitorar seus respectivos avisos do fornecedor e implantar atualizações de segurança relevantes conforme estejam disponíveis. O Hacker News recomenda especificamente que os usuários desses navegadores apliquem correções quando seus fornecedores as lançarem.

Mitigação da CVE-2026-125350

A principal remediação é atualizar o Google Chrome imediatamente para uma versão corrigida e reiniciar o navegador para que a build corrigida esteja em execução.

O Google lançou:

• Chrome 157.0.8103.50/.51 para Windows
• Chrome 157.0.8103.50/.51 para macOS
• Chrome 157.0.8103.50 para Linux
• Chrome Extended Stable 156.0.8078.96 para Windows e macOS

Normalmente, o Chrome baixa atualizações automaticamente, mas os usuários devem relançar o navegador para que a build atualizada substitua o processo em execução vulnerável. O Hacker News recomenda abrir Mais → Ajuda → Sobre o Google Chrome e relançar após a instalação da atualização.

As equipes de segurança empresarial devem tomar as seguintes ações:

1. Inventariar versões Chrome em todos os endpoints gerenciados.
2. Priorizar sistemas que ainda estão executando versões anteriores aos builds Stable ou Extended Stable corrigidos.
3. Forçar ou acelerar as atualizações do Chrome através de ferramentas de gerenciamento de navegador empresarial.
4. Verificar se os navegadores realmente reiniciaram após receberem o patch.
5. Monitorar endpoints que não podem ser atualizados imediatamente para processos de origem do navegador suspeitos.
6. Restringir acesso a infraestruturas reconhecidas como maliciosas ou recentemente registradas através de controles de segurança web existentes.
7. Revisar a telemetria de segurança para atividade suspeita de Chrome que ocorreu antes da implantação do patch.
8. Monitorar avisos do fornecedor para navegadores baseados no Chromium e atualizar esses produtos quando as correções estiverem disponíveis.

Como a exploração já ocorreu no meio natural, o patch não deve ser a única resposta para sistemas que podem ter sido expostos. Administradores devem considerar revisar a atividade recente de endpoints em máquinas vulneráveis, especialmente onde ferramentas de segurança registraram falhas incomuns do Chrome, execução de comandos gerados pelo navegador, downloads suspeitos ou conexões a infraestruturas não confiáveis.

Se for detectada atividade suspeita, isolar o endpoint afetado e preservar telemetria de navegador, EDR, DNS, proxy e rede antes da remediação. Investigadores devem reconstruir a atividade do navegador que precedeu o evento e determinar se houve qualquer payload subsequente, roubo de credenciais, persistência ou movimento lateral.

As organizações também devem verificar se o navegador estava sendo executado sob uma conta com acesso a sessões web sensíveis, aplicativos empresariais, consoles de nuvem ou credenciais privilegiadas. Dependendo da evidência de comprometimento, a revogação de sessão e rotação de credencial podem ser apropriadas.

A divulgação restrita do Google significa que os defensores atualmente não têm informações públicas suficientes para construir uma assinatura para o exploit real. Isso reforça a importância do gerenciamento de patches e da detecção genérica de exploração em vez de esperar por uma assinatura de rede ou arquivo confiável.