O seu Chrome está a ser atacado? A falha que a Google e a Apple corrigiram juntas

A Google lançou uma atualização de emergência para o navegador Chrome com o objetivo de corrigir uma vulnerabilidade de dia zero (zero-day) que já estava a ser explorada em ataques reais. A falha, identificada como CVE-2025-14174, reside no componente gráfico ANGLE e foi corrigida em coordenação com a Apple, que remendou o mesmo problema nos seus sistemas operativos. Trata-se do oitavo zero-day do Chrome ativamente explorado desde o início de 2025, num ano particularmente intenso para a segurança do navegador mais utilizado do mundo.

O que é a vulnerabilidade CVE-2025-14174

A vulnerabilidade foi classificada como um problema de acesso a memória fora dos limites (out-of-bounds memory access) no ANGLE, uma camada de abstração gráfica de código aberto partilhada pelo projeto Chromium. Segundo a descrição técnica, o acesso a memória fora dos limites no ANGLE do Google Chrome em Mac, em versões anteriores à 143.0.7499.110, permitia a um atacante remoto realizar esse acesso indevido através de uma página HTML manipulada. Na prática, bastaria induzir a vítima a visitar uma página maliciosa para desencadear o comportamento indevido na memória.

A gravidade é elevada. A vulnerabilidade recebeu o identificador CVE-2025-14174, com uma pontuação CVSS de 8,8, sendo descrita pela Google como um acesso a memória fora dos limites no ANGLE. Este tipo de falha de corrupção de memória é dos vetores mais valiosos para atacantes, uma vez que pode abrir caminho à execução de código arbitrário e ao comprometimento do navegador.

Um pormenor importante distingue este caso da maioria dos zero-days do Chrome: o mesmo defeito afetava também o WebKit da Apple. As notas que acompanham as atualizações de segurança da Apple indicam que a CVE-2025-14174 é um problema de corrupção de memória no WebKit, o motor de código aberto usado pelo Safari e por todos os navegadores no iPhone e no iPad, o que explica a necessidade de correções no Chrome e no Edge.

Versões afetadas e correções

A correção foi distribuída no ramo Chrome 143 para todas as principais plataformas de ambiente de trabalho. Para se protegerem, os utilizadores devem atualizar o Chrome para as versões 143.0.7499.109/.110 no Windows e no macOS da Apple, e 143.0.7499.109 no Linux. Por se tratar de uma falha no ANGLE, componente comum ao Chromium, outros navegadores baseados nesta base estão igualmente expostos. A CVE-2025-14174 foi também corrigida pela Microsoft no seu navegador Edge, baseado em Chromium, a 11 de dezembro, e adicionada ao catálogo de vulnerabilidades exploradas da CISA a 12 de dezembro.

Do lado da Apple, o âmbito é ainda mais alargado. As listas de produtos afetados indicam que estão em causa o Safari anterior à versão 26.2, o iOS e iPadOS anteriores à 26.2 (e à 18.7.3 no ramo mais antigo), além de várias versões do macOS Sonoma, Sequoia e Tahoe, tvOS, watchOS e visionOS. Os utilizadores destes dispositivos devem instalar as atualizações mais recentes disponibilizadas pela Apple.

Como a falha foi descoberta e explorada

A descoberta resultou de uma colaboração entre as equipas de segurança das duas empresas. A Google atribuiu o crédito pela deteção do problema à Apple Security Engineering and Architecture (SEAR) e ao Google Threat Analysis Group (TAG), que reportaram a falha a 5 de dezembro de 2025. O envolvimento do TAG é revelador do perfil dos ataques: esta unidade da Google centra-se frequentemente em campanhas de spyware e em atores patrocinados por Estados que usam zero-days para espionagem.

De acordo com o aviso da Apple, os ataques foram cirúrgicos. A Apple afirmou que as falhas foram exploradas em ataques altamente sofisticados e dirigidos contra indivíduos específicos, com a descoberta atribuída ao Threat Analysis Group da Google e às equipas de segurança da Apple. Este padrão é típico de operações de vigilância que visam alvos de elevado valor, como jornalistas, ativistas ou responsáveis governamentais, e não de campanhas de massa contra o utilizador comum. Ainda assim, uma vez tornada pública uma vulnerabilidade explorada, o risco de reutilização por outros atores aumenta rapidamente.

Fiel à sua prática habitual, a Google limitou inicialmente os detalhes técnicos. Antes da atribuição do CVE, a falha era referida apenas por um número interno do repositório de bugs do Chromium (466192044), e a empresa confirmou apenas que existia um exploit em circulação. Esta contenção de informação visa dar tempo à maioria dos utilizadores para atualizar antes de os detalhes ficarem plenamente acessíveis a potenciais atacantes.

As outras correções do mesmo boletim

Além do zero-day, o mesmo boletim de segurança resolveu duas outras vulnerabilidades de gravidade média. A Google corrigiu ainda mais duas vulnerabilidades no aviso: a CVE-2025-14372, uma falha de use-after-free no Gestor de Palavras-passe, e a CVE-2025-14373, uma implementação inadequada na barra de ferramentas (Toolbar). Convém notar uma discrepância nas classificações: a CVE-2025-14372 foi reportada à Google a 14 de novembro por Weipeng Jiang (@Krace), do Vulnerability Research Institute, e embora a Google lhe tenha atribuído uma gravidade moderada, uma entrada no repositório da Tenable menciona uma pontuação CVSS v3.0 de 9,8, sugerindo que alguns lhe atribuíram gravidade crítica.

Cronologia da resposta

Um ano difícil para o Chrome

Este caso encerrou uma sequência notável. Com esta atualização, a Google corrigiu oito falhas de dia zero no Chrome exploradas ativamente ou demonstradas como prova de conceito desde o início do ano, incluindo a CVE-2025-2783, a CVE-2025-4664, a CVE-2025-5419, a CVE-2025-6554, a CVE-2025-6558, a CVE-2025-10585 e a CVE-2025-13223. Várias destas falhas concentraram-se no motor JavaScript V8 e em componentes adjacentes, um alvo recorrente em cadeias de exploração reais. Menos de um mês antes, a Google já tinha corrigido a CVE-2025-13223, uma falha de confusão de tipos no V8 também reportada pelo TAG.

Porque é que isto importa em Portugal

Ainda que os ataques observados tenham sido dirigidos a alvos específicos, a inclusão no catálogo de vulnerabilidades exploradas da CISA elevou a urgência da correção para todos. A CISA adicionou este CVE ao seu catálogo de vulnerabilidades conhecidas exploradas, exigindo às agências federais norte-americanas a sua remediação até 2 de janeiro de 2026. Embora esta obrigação se aplique ao governo dos EUA, o catálogo KEV é uma referência internacional que organizações de todo o mundo, incluindo em Portugal, usam para priorizar correções.

Para as PME e organizações portuguesas, o episódio reforça obrigações que se tornaram mais exigentes com o novo enquadramento legal. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, coloca a gestão de vulnerabilidades e a rápida aplicação de correções no centro das medidas de gestão de risco esperadas de muitas entidades. O CNCS e o CERT.PT recomendam de forma consistente a atualização atempada de software e a subscrição de avisos de segurança. Para os cidadãos, a mensagem é simples: manter o navegador e o sistema operativo atualizados é a defesa mais eficaz e imediata contra este tipo de falha.

Há ainda um risco frequentemente esquecido: as aplicações de ambiente de trabalho que embutem Chromium (por exemplo, via Electron ou CEF). Estas podem continuar vulneráveis mesmo depois de o navegador principal estar atualizado, pelo que as equipas de TI devem inventariar as versões de Chromium incorporadas nas suas aplicações e exigir aos fornecedores confirmação de que integram a correção. Do lado do utilizador, o processo é rápido: abrir o menu de três pontos, ir a Ajuda > Acerca do Google Chrome, aguardar a transferência da atualização e clicar em Reiniciar.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Google (Chrome Releases), pela Apple, pela CISA, pelo INCIBE-CERT e por investigadores de segurança.