Google corrige falha do Chrome que já é explorada por hackers; veja como atualizar
Brecha CVE-2026-125350, no processamento de XML, é a oitava falha do navegador explorada antes da correção em 2026; Chrome 157 resolve o problema.
O Google liberou na segunda-feira (9) uma atualização de segurança do Chrome para computadores que corrige nove falhas, entre elas uma vulnerabilidade que já está sendo explorada por atacantes. Identificada como CVE-2026-125350, a brecha fica no componente que processa documentos XML dentro do navegador e foi classificada pela empresa como de gravidade alta.
No comunicado da versão, o Google afirma estar ciente de que existe um exploit para a falha circulando “in the wild”, expressão usada para ataques reais, fora de ambientes de teste. A empresa não informou quem está por trás das ofensivas, quais alvos foram atingidos nem a dimensão da exploração. Segundo a contagem de publicações especializadas em segurança, é a oitava falha do Chrome explorada como zero-day em 2026, isto é, usada por criminosos antes de haver correção disponível.
O que é a falha
A CVE-2026-125350 é do tipo use-after-free: o programa libera um trecho de memória, mas continua usando uma referência antiga a ele. Dependendo de como essa memória é reaproveitada, o erro pode travar o navegador, vazar informações ou permitir que um atacante tente executar código malicioso. O caminho mais provável de ataque é uma página com conteúdo XML preparado para disparar o defeito, mas o Google não detalhou como as investidas foram feitas.
A falha foi relatada por um pesquisador anônimo em 6 de novembro, três dias antes da correção. Como de costume, o Google restringiu o acesso aos detalhes técnicos até que a maioria dos usuários esteja protegida, e mantém o sigilo também quando o problema está em uma biblioteca de terceiros usada por outros projetos que ainda não foram corrigidos. A mesma atualização fecha outra brecha de uso de memória liberada no XML, a CVE-2026-125346, que não aparece como explorada.
Versões que corrigem o problema
A correção está no Chrome 157.0.8103.50 e .51 para Windows e Mac e no 157.0.8103.50 para Linux. Quem usa o canal Extended Stable, voltado a empresas, recebe a correção na versão 156.0.8078.96. No Android, o Chrome 157.0.8103.50 traz as mesmas correções de segurança da versão para computadores, segundo o Google.
A distribuição é gradual e pode levar dias ou semanas para chegar a todos. Para não esperar, basta abrir o menu do Chrome, ir em Ajuda e depois em Sobre o Google Chrome: o navegador procura a nova versão, baixa e pede para ser reiniciado. A proteção só vale depois de reiniciar.
Além dos nove reparos
As outras sete falhas corrigidas incluem problemas de gravidade alta no WebGL, no sistema de arquivos, na composição de imagens, na GPU e no V8, o motor que executa JavaScript, a maior parte encontrada pelas próprias equipes do Google. Navegadores que usam o código do Chromium, como Edge, Brave e Opera, dependem de atualizações dos próprios desenvolvedores, por isso também vale conferir se há versão nova neles.
Barra de endereços do Chrome com o cadeado de conexão segura, em foto de 2014; imagem ilustrativa. Foto: Yuri Samoilov, via Wikimedia Commons (CC BY 3.0).
.jpeg){kind=link}
.jpeg?ref=comenta.com.br){kind=link}