O Chrome tem uma nova correção de emergência e, desta vez, o problema está na forma como o navegador processa XML. As versões 157.0.8103.50/.51 para Windows e macOS e 157.0.8103.50 para Linux eliminam a CVE-2026-125350, a oitava falha zero-day do Chrome explorada em ataques desde o início de 2026. Sobre os ataques, o silêncio é quase total: nem a autoria, nem as vítimas, nem a forma de entrega são conhecidas. A recomendação é atualizar e reiniciar o navegador sem esperar pela distribuição automática.
Resposta rápida: A Google corrigiu a CVE-2026-125350, uma falha use-after-free de gravidade alta no componente XML do Chrome que já está a ser explorada em ataques. Atualize para a versão 157.0.8103.50/.51 (Windows e macOS) ou 157.0.8103.50 (Linux e Android) e reinicie o navegador; no canal Extended Stable, a versão corrigida é a 156.0.8078.96. Não foram divulgados indicadores de comprometimento nem detalhes sobre os atacantes.
O que se sabe sobre a CVE-2026-125350
No centro do alerta está um erro de gestão de memória do tipo use-after-free no componente XML, a que a Google atribuiu gravidade alta. Neste tipo de erro, o programa volta a usar uma zona de memória que já tinha libertado, e um atacante que consiga controlar o conteúdo dessa zona pode provocar falhas ou executar código. Nas fontes consultadas não encontrámos uma pontuação CVSS publicada.
Apenas três dias separam a denúncia, feita a 6 de novembro por um investigador anónimo, da publicação da correção. A confirmação oficial cabe numa frase do aviso de segurança de segunda-feira: “Google is aware that an exploit for CVE-2026-125350 exists in the wild”. Quem procurar o relatório técnico no rastreador do Chromium encontra, por agora, a porta fechada: a divulgação depende do ritmo a que os utilizadores atualizarem.
Fora da Google, já há leituras técnicas. A Ostorlab associa a falha ao processamento de XSLT e sublinha que uma visita normal a uma página chega para alcançar o código vulnerável. Já o CyberInsider situa a origem do problema na libxslt, a biblioteca que aplica folhas de estilo XSLT a documentos XML, depois de examinar uma alteração pública ao código do Chromium. O cenário descrito envolve a cache de correspondência de padrões: duas operações acabam a disputar o mesmo objeto e a mais antiga fica com uma referência que já não é válida. A Google não confirmou estes detalhes. Nenhum investigador independente mostrou, até agora, ter em mãos o código usado pelos atacantes; a exploração ativa assenta unicamente na palavra do fabricante.
Versões afetadas e corrigidas
Na prática, a fasquia é a 157.0.8103.50: um Chrome de secretária com número inferior continua exposto. A tabela resume a versão a procurar em cada canal.
| Canal | Sistema | Versão corrigida |
|---|---|---|
| Stable | Windows e macOS | 157.0.8103.50 ou 157.0.8103.51 |
| Stable | Linux | 157.0.8103.50 |
| Extended Stable | Windows e macOS | 156.0.8078.96 |
| Chrome para Android | Android | 157.0.8103.50 |
No canal Extended Stable, usado sobretudo em ambientes empresariais, o número a procurar é outro (156.0.8078.96) e o respetivo aviso soma 11 correções, entre as quais a do zero-day. Nos telemóveis Android, a referência passa a ser igualmente a 157.0.8103.50, publicada no mesmo dia e alinhada com as correções de secretária. Os Chromebooks terão de aguardar: a última atualização estável do ChromeOS, de 6 de novembro, é anterior à correção e não a refere.
O que mais traz a atualização
O pacote de 9 de novembro não se esgota no zero-day: soma nove correções, sete de gravidade alta e duas de gravidade média. A distribuição por componentes, tal como descrita nas fontes que reproduzem o aviso, é a seguinte:
| Componente | Tipo de falha | Gravidade | Observações |
|---|---|---|---|
| XML | Use-after-free | Alta | CVE-2026-125350, explorada em ataques |
| XML | Use-after-free | Alta | CVE-2026-125346, comunicada a 12 de outubro por Arni Hardarson (Neonix Security) |
| V8 | Confusão de tipos | Alta | CVE-2026-125344 |
| GPU | Escrita fora dos limites | Alta | — |
| Compositing | Transbordo de memória (buffer overflow) | Alta | — |
| FileSystem | Autorização incorreta | Alta | — |
| WebGL | Recurso não inicializado | Alta | — |
| GPU | Duas falhas | Média | — |
Dois erros da mesma família no componente XML constam do pacote, mas a confirmação de ataques recai apenas sobre a CVE-2026-125350.
Cronologia
| Data | Acontecimento |
|---|---|
| 12 de outubro de 2026 | A Google recebe a comunicação da CVE-2026-125346, a outra falha use-after-free no XML |
| 3 de novembro de 2026 | O Chrome 157 chega ao canal estável (157.0.8103.38/.39) |
| 6 de novembro de 2026 | Um investigador anónimo comunica a CVE-2026-125350 |
| 9 de novembro de 2026 | A Google publica as versões corrigidas (Stable, Extended Stable e Android) e confirma a existência de um exploit em circulação |
| 10 de novembro de 2026 | O HKCERT emite um boletim com o nível de risco máximo |
O HKCERT, centro de resposta a incidentes de Hong Kong, colocou o seu boletim no escalão mais elevado da escala que utiliza, justificando-o com a exploração ativa. Negação de serviço, execução remota de código e contorno de restrições de segurança compõem a lista de impactos possíveis do conjunto de falhas. Essa classificação é do HKCERT; a Google mantém a gravidade alta. No catálogo KEV da agência norte-americana CISA, a entrada continuava ausente na manhã de 10 de novembro.
Oito zero-days em 2026
O motor JavaScript V8 destaca-se na lista do ano, com quatro das oito entradas, repartindo-se as restantes por CSS, Skia, Dawn e, agora, XML.
| Mês da correção | CVE | Componente |
|---|---|---|
| Fevereiro | CVE-2026-2441 | CSS (CSSFontFeatureValuesMap) |
| Março | CVE-2026-3909 | Skia (gráficos 2D) |
| Março | CVE-2026-3910 | V8 |
| Abril | CVE-2026-5281 | Dawn (WebGPU) |
| Junho | CVE-2026-11645 | V8 |
| Setembro | CVE-2026-87491 | V8 |
| Setembro | CVE-2026-85046 | V8 |
| Novembro | CVE-2026-125350 | XML |
O ano de 2025 tinha fechado exatamente com o mesmo número, o que significa que 2026 igualou a marca com mais de um mês e meio por decorrer.
Como proteger-se
Esperar pela atualização automática pode significar dias ou semanas de exposição, já que a distribuição é feita por fases. Os passos seguintes forçam a instalação e permitem confirmar o resultado.
- Computador: abra o menu do Chrome (três pontos), escolha Ajuda e depois Acerca do Google Chrome, aguarde a transferência e clique em Reiniciar. A correção só fica ativa depois do reinício.
- Verificação: escreva
chrome://versionna barra de endereços e confirme o número completo da versão. - Linux (Debian/Ubuntu): a Ostorlab sugere atualizar o pacote com
sudo apt update && sudo apt install --only-upgrade google-chrome-stable. - Android: atualize o Chrome na Play Store e confirme a versão 157.0.8103.50.
- Empresas: registe sistema operativo, canal e versão completa de cada instalação. Um inventário que indique apenas “Chrome 157” engana, porque a série inclui a 157.0.8103.38/.39, lançada a 3 de novembro e ainda sem a correção.
- Outros navegadores baseados em Chromium: Edge, Brave, Opera e Vivaldi dependem de cada fabricante para integrar a correção. Não conseguimos confirmar em fonte oficial a disponibilidade dessas atualizações, pelo que convém verificá-las junto de cada fabricante.
As equipas de segurança ficam, para já, sem matéria-prima para procurar sinais de intrusão: faltam hashes, domínios ou endereços IP associados aos ataques. Sem indicadores de comprometimento (IOCs), a única medida verificável é a versão instalada.
Porque importa em Portugal
O navegador é hoje a porta de entrada para o correio eletrónico, a banca online, os serviços públicos digitais e as aplicações de gestão das empresas. Uma falha que pode ser acionada por uma página web afeta, por isso, tanto cidadãos como PME sem equipa de TI dedicada.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2), a gestão de vulnerabilidades e a aplicação atempada de atualizações integram as medidas de gestão de risco exigidas. Os incidentes com impacto significativo têm de ser notificados ao CNCS, cuja equipa de resposta é o CERT.PT.
Se a exploração de uma falha deste tipo resultar em acesso indevido a dados pessoais, aplica-se também o RGPD. O regulamento obriga a notificar a CNPD no prazo de 72 horas após o conhecimento da violação, sempre que exista risco para os titulares. A Google não divulgou a geografia nem o perfil das vítimas, pelo que não há indicação de alvos em Portugal.
Perguntas frequentes
O que é a CVE-2026-125350?
É uma vulnerabilidade de gravidade alta do tipo use-after-free no componente XML do Google Chrome. A Google confirmou que existe um exploit em circulação, o que faz dela o oitavo zero-day do navegador explorado em 2026.
Que versão do Chrome devo ter instalada?
No canal estável, a 157.0.8103.50 ou 157.0.8103.51 em Windows e macOS e a 157.0.8103.50 em Linux e Android. No canal Extended Stable, a versão corrigida é a 156.0.8078.96.
Como sei se fui alvo de um ataque?
Não é possível saber com os dados disponíveis. A Google não publicou indicadores de comprometimento nem detalhes sobre os ataques, pelo que a medida prática é confirmar a versão instalada e reiniciar o navegador após a atualização.
Os outros navegadores baseados em Chromium também são afetados?
Navegadores como o Edge, o Brave, o Opera ou o Vivaldi partilham código com o Chromium e podem ser afetados. A correção depende de cada fabricante, pelo que deve verificar e aplicar as atualizações do seu navegador assim que estiverem disponíveis.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Google (blogue Chrome Releases), pelo HKCERT, pela Ostorlab e pela SecurityWeek.