A falha a que a Google chama média

A 8 de setembro, a Google promoveu o Chrome 153 ao canal estável para Windows, Mac e Linux, fechando discretamente o CVE-2026-87491, um erro de escrita fora de limites no V8, o motor que executa cada script em cada página que um utilizador do Chrome abre. Nas mesmas notas de lançamento, a própria equipa de segurança da Google escreveu a frase que realmente importa: "A Google tem conhecimento de que existe um exploit para o CVE-2026-87491 em circulação." Uma página web especialmente construída basta para o ativar, e um ataque bem-sucedido permite que um atacante execute código arbitrário dentro da sandbox do navegador.

Olhando, porém, para a coluna de gravidade junto ao CVE, o próprio sistema de registo de erros do Chromium classifica-o como médio. Não crítico, nem sequer alto. A investigadora que o encontrou e reportou, Jihyeon Jeong do Compsec Lab da Seoul National University, recebeu uma recompensa de 2.500 dólares, um prémio de nível médio que corresponde à etiqueta média. Nada na correção em si assinala urgência. Tudo na forma como estava a ser explorada assinala.

Porque é que a CISA discorda da etiqueta

A agência norte-americana de cibersegurança e segurança de infraestruturas não classifica as falhas pelo quão graves poderiam teoricamente ser. Mantém uma única lista, o catálogo de vulnerabilidades exploradas conhecidas, e a única coisa que coloca um CVE nessa lista é prova de que alguém já o está a usar contra alvos reais. O CVE-2026-87491 está agora nessa lista, registado sob Google, Chromium V8, com prazo de correção até 23 de setembro de 2026, quinze dias depois de a correção ter sido lançada.

Esse prazo de quinze dias é uma exigência para as agências civis federais dos Estados Unidos, não uma exigência da UE, pelo que não vincula diretamente nenhum leitor da Servola. O que traz é algo mais útil do que uma obrigação legal: um segundo sinal independente, construído inteiramente a partir de provas de exploração e não da própria classificação de um fornecedor, e recaiu sobre uma falha que o sistema do Chromium continua a chamar de média. Quando os dois divergem de forma tão acentuada, é a inclusão na KEV que reflete o que está realmente a acontecer na internet neste momento.

Quatro dias zero, um único motor

O CVE-2026-87491 não é um incidente isolado. É a sétima falha de dia zero do Chrome que a Google confirmou sob exploração ativa em 2026, e chegou apenas quatro dias depois da sexta, o CVE-2026-85046, outra falha do V8 corrigida a 3 de setembro. Quatro das sete falhas de dia zero confirmadas este ano situam-se especificamente dentro do V8, o motor de JavaScript e WebAssembly que o Chrome, o Edge, o Opera, o Brave e qualquer outro navegador baseado em Chromium partilham.

Essa concentração não é um acaso do que calhou ser reportado este ano. O V8 é um dos componentes mais sujeitos a fuzzing e mais recompensados do navegador, o que significa que os atacantes que realmente encontram algo ali obtêm um componente que corre em praticamente todos os computadores e telemóveis do planeta, não uma funcionalidade de nicho que apenas uma fração dos utilizadores tem ativada. Quatro acertos num único motor em nove meses lê-se menos como azar e mais como uma escolha deliberada dos atacantes sobre onde está o trabalho de maior valor.

O que isto significa para uma equipa de segurança na UE

A maioria dos programas de gestão de vulnerabilidades continua a priorizar primeiro pela gravidade atribuída pelo fornecedor, e só depois, quando sequer chega a verificar, pelo estado de exploração. Esta falha é o argumento contra essa ordem. Uma equipa que corrige de imediato o crítico e o alto, e deixa o médio para a próxima janela de manutenção, teria deixado o CVE-2026-87491 aberto durante semanas enquanto já estava a ser explorado, porque a etiqueta dizia que podia esperar.

A correção em si não custa nada além do ciclo normal de atualizações: o Chrome atualiza-se automaticamente para a versão 153.0.8010.36 ou posterior na maioria das máquinas geridas e não geridas em poucos dias, e verificar o número da versão nas definições do Chrome confirma isso. A mudança mais duradoura é processual. A expectativa da NIS2 de uma gestão de vulnerabilidades ao estado da arte é mais fácil de cumprir ligando diretamente o feed KEV da CISA a uma fila de prioridade de correções do que confiando que a própria classificação de gravidade de um fornecedor apanhe a tempo cada falha ativamente explorada, porque este caso mostra que essa classificação não o faz.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem muro de pagamento, gratuito para todos. Acreditamos simplesmente que compreender o que nos está a acontecer a todos não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um gosto ou escreva um comentário positivo. Lemos todos, e são eles que nos mantêm em andamento.

Leia a seguir: Explorado Semanas Antes de o PaperCut Corrigir  |  Equipas De Segurança Da UE Sem Voz Sobre A Astra