O Google começou a distribuir na segunda-feira (9) uma atualização de segurança do Chrome para Windows, macOS e Linux. Ela fecha uma brecha que já está sendo usada em ataques reais. É a oitava falha zero-day do navegador corrigida em 2026, o mesmo número registrado em todo o ano passado, e ainda faltam quase dois meses para o ano terminar.
A vulnerabilidade foi catalogada como CVE-2026-125350 e tem gravidade alta. O defeito fica no componente que processa XML e é do tipo “uso após liberação”: o programa continua acessando um trecho da memória que já tinha liberado. Um atacante que consiga controlar o que passa a ocupar esse espaço pode fazer o navegador executar código malicioso no computador da vítima.
Srinivas Sista, da equipe do Chrome, confirmou no comunicado da atualização que o Google sabe da existência de um exploit para a CVE-2026-125350 em uso. Segundo ele, a falha foi relatada por uma fonte anônima no início de novembro. Entre o aviso e a correção, passaram poucos dias.
O que o Google não contou
A empresa não explicou como a brecha está sendo explorada, quem são os alvos nem quem está por trás dos ataques. Isso é praxe no setor. Os detalhes técnicos ficam em sigilo até que a maior parte dos usuários tenha instalado a correção, para que outros grupos não usem a descrição como receita para criar novos ataques.
O pacote corrige mais oito problemas além do zero-day, em partes como o WebGL, o sistema de arquivos e o motor JavaScript V8. Um deles é outra falha no XML, a CVE-2026-125346, reportada por Arni Hardarson, da Neonix Security. Nesse caso, o Google diz não ter indício de exploração ativa.
Atualize sem esperar
A distribuição é gradual. Quem depende só da atualização automática pode levar dias para receber a versão nova, e é justamente nessa janela que uma falha já explorada faz vítimas. Oito zero-days em pouco mais de dez meses indicam que o Chrome segue sendo alvo prioritário de grupos de ataque, e a única defesa do usuário comum é manter o navegador em dia.
Para forçar a atualização, abra o menu de três pontos no canto superior direito, entre em Configurações e clique em “Sobre o Google Chrome”. O navegador procura a versão nova, faz o download e pede para reiniciar. A correção só passa a valer depois que o Chrome é fechado e aberto de novo: quem deixa o navegador aberto por dias seguidos continua rodando a versão vulnerável.
