O sexto do ano, e um padrão nos outros cinco
A Google lançou a correção para o CVE-2026-85046 a 3 de setembro de 2026, uma falha de confusão de tipos de gravidade elevada no motor V8 de JavaScript e WebAssembly do Chrome que permite que conteúdo web especialmente preparado desencadeie acesso de leitura e escrita arbitrário dentro da sandbox do navegador. É o sexto dia zero que a Google corrigiu este ano que já estava a ser explorado ativamente antes de existir uma correção, e ao olhar para os seis em conjunto surge algo que um único aviso nunca declara abertamente: três deles, incluindo este, atingiram o mesmo componente.
O padrão só se torna visível quando os avisos do ano são colocados lado a lado.
| CVE | Corrigido | Componente | Gravidade |
|---|---|---|---|
| CVE-2026-2441 | fevereiro de 2026 | CSS (uso após libertação) | 8.8 |
| CVE-2026-3909 | março de 2026 | biblioteca gráfica Skia | 8.8 |
| CVE-2026-3910 | março de 2026 | motor V8 | 8.8 |
| CVE-2026-5281 | abril de 2026 | Dawn (WebGPU) | Não divulgada |
| CVE-2026-11645 | junho de 2026 | motor V8 | 8.8 |
| CVE-2026-85046 | setembro de 2026 | motor V8 | Alta |
Porque é que o V8 volta sempre a ser atingido
O V8 é o componente que transforma o JavaScript e o WebAssembly de cada página web em código em execução, o que faz dele, por definição, a parte do Chrome que processa mais dados de entrada controlados por atacantes. Uma falha de confusão de tipos ali, como a do CVE-2026-85046, engana o motor para que trate um tipo de objeto de memória como se fosse outro, o que basta para construir acesso de leitura e escrita arbitrário e, a partir daí, execução de código dentro da sandbox. Três falhas exploráveis distintas no mesmo motor num único ano não é coincidência, é um sinal de que tanto os investigadores ofensivos como os grupos criminosos convergiram para o V8 como o alvo de maior valor no navegador, porque uma cadeia de exploração que funcione ali tende a ser reutilizável em muitos sites e contra muitas vítimas.
O investigador que encontrou esta falha em concreto, Salvatore Gulizia, reportou-a a 4 de agosto de 2026 e recebeu uma recompensa de 1.000 dólares, um valor modesto tendo em conta que a falha já estava a ser usada em ataques reais quando a Google lançou uma correção um mês depois.
O que fazer em relação a isto agora
A correção está no Chrome 152.0.7977.82 ou .83 para Windows e macOS e 152.0.7977.82 para Linux, e está a ser distribuída automaticamente ao longo dos próximos dias e semanas, a menos que uma empresa tenha desativado a atualização automática ou a tenha atrasado através de uma política gerida. A Cybersecurity and Infrastructure Security Agency acrescentou o CVE-2026-85046 ao seu catálogo Known Exploited Vulnerabilities a 4 de setembro de 2026, com um prazo de correção até 18 de setembro para as agências civis federais dos Estados Unidos, um prazo que vincula diretamente apenas organismos governamentais mas que continua a ser uma data-alvo razoável para qualquer organização que gere o seu próprio ciclo de correções.
Dado que três das seis falhas do Chrome exploradas ativamente este ano atingiram o mesmo motor, a lição prática não é apenas corrigir esta falha em particular. É tratar os avisos do Chrome relacionados com o V8 como uma categoria de risco recorrente, e não ocasional, e verificar se as atualizações automáticas estão de facto ativadas nas frotas geridas, em vez de simplesmente presumir que estão.
Leia a seguir: Em dezembro de 2026 o seu bloqueador de anúncios fica mais fraco no Edge | O Próximo Zero-Day do Chrome Segue para Bruxelas
