Google lança atualização de emergência para o oitavo zero-day do Chrome explorado em ataques este ano

O Google publicou uma atualização de emergência do Chrome para a CVE-2026-125350, um bug de use-after-free (UAF) no componente XML do navegador. Em um comunicado de segunda-feira, a empresa afirmou saber que existe um exploit para a falha em uso real. É o oitavo zero-day do Chrome explorado em ataques em 2026.

O mecanismo é clássico. O parser de XML processa dados, libera um objeto da memória e não zera o ponteiro que apontava para ele. Quando o navegador tenta usar ou ler esse espaço já liberado, o atacante consegue manipular o layout da memória e executar código malicioso. A fonte classifica a falha como de alta severidade. O Google não divulgou detalhes dos incidentes e diz que pode manter restritos os detalhes do bug até que a maioria dos usuários esteja atualizada. A restrição também continua se o problema estiver em biblioteca de terceiros que outros projetos ainda não corrigiram.

A correção está no canal Stable Desktop: versões 157.0.8103.50/.51 para Windows e macOS e 157.0.8103.50 para Linux. O Google avisa que a distribuição pode levar dias ou semanas, mas a atualização já estava disponível quando o BleepingComputer verificou. O Chrome também instala sozinho a atualização após o próximo reinício do navegador.

A cobertura do CEVIU mostra a sequência do ano. Em 17 de fevereiro de 2026, a matéria "Nova Zero-Day no Chrome (CVE-2026-2441) Sob Ataque Ativo, Patch Lançado" registrou o primeiro zero-day do Chrome em 2026, também um use-after-free, naquele caso no motor CSS. Em 7 de abril de 2026, "Atualização Urgente do Chrome: Vulnerabilidade Explorada Ativamente" tratou da CVE-2026-5281, que a fonte atual identifica como um UAF no Dawn, a implementação do WebGPU. A falha de agora é a oitava da lista, e o UAF segue recorrente: CSS em fevereiro, Dawn em abril e XML agora.

Para quem opera parque de estações com Chrome, a leitura é direta: há exploração ativa, então a atualização para a 157.0.8103.50 ou superior merece prioridade sobre o ciclo normal. Vale conferir a versão instalada em vez de esperar a distribuição gradual. Oito zero-days em menos de onze meses também sugerem que o navegador deve ser tratado como superfície de ataque de primeira linha, com inventário de versões e reinício forçado de atualização.