CERT-In alerta utilizadores do Chrome após a Google corrigir 37 falhas de segurança, incluindo sete críticas

Utilizadores de computadores de secretária aconselhados a instalar correções de segurança do Chrome

A equipa de resposta a emergências informáticas da Índia, CERT-In, emitiu um alerta a 14 de outubro de 2026 sobre vulnerabilidades do Google Chrome que poderiam permitir a atacantes executar código malicioso, obter informações sensíveis ou perturbar o funcionamento dos computadores afetados. A Google disponibilizou correções um dia antes para 37 falhas de segurança, incluindo sete classificadas como críticas.

As versões afetadas são as anteriores à 155.0.8059.79 no Linux e à 155.0.8059.79/.80 no Windows e no macOS. Os utilizadores devem abrir a página «Acerca do Google Chrome», procurar atualizações e reiniciar o navegador quando lhes for solicitado, para concluir a instalação.

O anúncio da versão para computadores de secretária da Google, datado de 13 de outubro, enumera sete vulnerabilidades críticas, 29 classificadas como graves e uma como moderada. As falhas abrangem gráficos, documentos, redes, palavras-passe e o software que executa instruções de páginas Web.

A Google afirma que a distribuição poderá demorar dias ou semanas. Por isso, quem procurar uma atualização imediatamente poderá ter de voltar a verificar mais tarde, à medida que a nova versão chegar a mais computadores.

Que versões precisam de ser atualizadas?

O alerta da CERT-In abrange a versão de secretária do Chrome para Windows, macOS e Linux. O Centro de Coordenação da Equipa de Resposta a Emergências Informáticas de Hong Kong, HKCERT, indica as mesmas versões afetadas e recomenda a instalação das correções do fabricante.

• Linux: instalar o Chrome 155.0.8059.79 ou uma versão posterior.
• Windows: instalar o Chrome 155.0.8059.79/.80 ou uma versão posterior.
• macOS: instalar o Chrome 155.0.8059.79/.80 ou uma versão posterior.

O número da versão é importante porque as correções são distribuídas através da atualização do navegador. Um computador pode continuar a abrir páginas Web normalmente, mesmo estando a executar uma versão com estas falhas. Nas famílias, a tarefa imediata é verificar cada computador. Nas organizações, é identificar quais as máquinas que receberam a atualização e concluíram o reinício necessário.

O número da versão do Chrome encontra-se em Ajuda e, depois, em Acerca do Google Chrome, no menu que se abre através dos três pontos no canto superior direito do navegador. Essa página também verifica se há alguma atualização disponível.

Sete falhas críticas afetam funções essenciais do navegador

A Google identifica a CVE-2026-110152 como uma sobrecarga de buffer crítica no ANGLE, um componente gráfico utilizado pelo Chrome. Um buffer é uma área de memória reservada para armazenar dados. Ocorre uma sobrecarga quando o software escreve para além dos limites dessa área, podendo danificar dados próximos ou permitir que um atacante interfira com a execução de um programa.

Segundo o aviso de lançamento da Google, Zhenpeng (Leo) Lin, da depthfirst, comunicou a vulnerabilidade do ANGLE a 30 de setembro. Entre as possíveis consequências estão falhas do sistema e a execução de código malicioso.

As outras seis vulnerabilidades críticas são erros de utilização de memória após a sua libertação. Afetam os componentes Browser, PDF, Network, Core, SVG e Media. Estes componentes abrangem funções que vão desde o processamento de documentos e gráficos até à comunicação através de uma rede.

Um erro de utilização de memória após a sua libertação ocorre quando o software continua a usar uma zona de memória depois de a ter libertado. Imagine-se um programa a tratar uma antiga localização de armazenamento como se o conteúdo ainda lhe pertencesse, embora esse espaço possa já conter outra coisa. Um atacante poderá conseguir influenciar o novo conteúdo e perturbar ou redirecionar o programa.

A Google indica os seis identificadores das vulnerabilidades críticas: CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 e CVE-2026-110151. Em conjunto com a falha do ANGLE, representam sete das 37 correções, ou cerca de uma em cada cinco.

O que pode acontecer num computador afetado?

A CERT-In alerta que a exploração das falhas poderá permitir a execução de código arbitrário, a divulgação de informações sensíveis ou a negação de serviço. Em termos simples, estes resultados significam executar instruções escolhidas por um atacante, expor dados privados ou fazer com que o software deixe de funcionar corretamente.

O boletim de segurança do Chrome da HKCERT, também datado de 14 de outubro, enumera mais dois possíveis impactos: a elevação de privilégios e o contorno de restrições de segurança. O primeiro consiste em obter permissões superiores às normalmente autorizadas; o segundo, em contornar uma regra de proteção.

A HKCERT atribui ao boletim uma classificação de risco médio, enquanto a lista da Google classifica como críticas sete falhas individuais. As duas avaliações têm âmbitos diferentes: a HKCERT atribui uma classificação ao boletim no seu conjunto, ao passo que a Google classifica cada vulnerabilidade separadamente. A HKCERT recomenda a aplicação das correções.

O boletim da HKCERT enumera as CVE-2026-110136 a CVE-2026-110172, uma sequência que inclui os 37 identificadores. Os números CVE funcionam como referências, ajudando fabricantes de software e administradores a acompanhar o mesmo problema de segurança em diferentes avisos e atualizações.

Palavras-passe, JavaScript e documentos também são afetados

Entre as 29 correções de gravidade elevada da Google estão problemas no V8, o motor JavaScript do Chrome. O JavaScript fornece instruções que tornam interativas muitas páginas Web. Uma vulnerabilidade no motor pode ser explorada enquanto o navegador processa essas instruções.

As falhas do V8 incluem uma confusão de tipos, CVE-2026-110140, e duas vulnerabilidades de utilização de memória após a sua libertação, CVE-2026-110168 e CVE-2026-110169. A confusão de tipos ocorre quando o software trata um dado como se fosse de outro tipo, o que pode levar a operações de memória inseguras.

O componente Passwords do Chrome tem três falhas de gravidade elevada: uma fuga de informação e dois erros de utilização de memória após a sua libertação. Outras correções dizem respeito aos componentes Extensions, WebRTC, DOM, Canvas e PDFium. Estes componentes dão suporte a extensões, comunicações do navegador, estrutura das páginas Web, desenho e processamento de PDF.

A Google também enumera vulnerabilidades relacionadas com permissões nos componentes ReadingMode, Installer, Updater e Mojo. Por exemplo, um erro de autorização diz respeito à verificação correta de que uma ação é permitida. A única vulnerabilidade de gravidade moderada é uma falha de utilização de memória após a sua libertação no FileSystem, identificada como CVE-2026-110142.

A amplitude da lista explica por que motivo a atualização é importante para além de uma única atividade de navegação. O Chrome processa texto, scripts, gráficos, documentos e dados de rede, e esta versão corrige vulnerabilidades em vários desses processos.

Quem comunicou as vulnerabilidades?

Segundo os créditos da Google, Xinyang Ge, da Anthropic, comunicou a vulnerabilidade de gravidade elevada CVE-2026-110169 no V8 a 28 de setembro, com a assistência do Claude. O aviso identifica o investigador, a organização e a assistência envolvida, mas não descreve mais detalhadamente o papel do Claude.

A Google também atribui a Xinyang Ge a descoberta de várias outras falhas, incluindo vulnerabilidades críticas no PDF, SVG e Media. A própria Google comunicou os erros críticos nos componentes Browser, Network e Core. Entre os outros colaboradores identificados estão Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa e Andrew Boni.

As datas de divulgação mostram que esta versão reúne descobertas feitas ao longo de vários meses. A lista da Google inclui uma vulnerabilidade no Bindings comunicada a 25 de março e vulnerabilidades mais recentes no Media, comunicadas a 6 de outubro. Todas estão a ser corrigidas nesta versão estável.

Por que razão alguns detalhes técnicos continuam restritos

A Google afirma que o acesso a alguns registos de erros poderá continuar restrito enquanto os utilizadores recebem a atualização. Srinivas Sista, que publicou o anúncio da versão do Google Chrome, explicou a política de divulgação da empresa:

O acesso aos detalhes dos erros e às ligações poderá continuar restrito até que a maioria dos utilizadores tenha recebido uma correção.

A Google acrescenta que as restrições podem manter-se quando uma vulnerabilidade afeta uma biblioteca utilizada por outros projetos que ainda não a corrigiram. Uma biblioteca é uma parte reutilizável de software, pelo que o mesmo erro subjacente pode exigir trabalho por parte de várias equipas de desenvolvimento.

O aviso de lançamento identifica os componentes afetados e os tipos de erro, limitando o acesso a alguns registos técnicos mais detalhados. Para os utilizadores, a informação prática é a versão que inclui as correções. Para os administradores, os identificadores permitem confrontar esta versão com os registos de vulnerabilidades e os inventários de software.

Dos relatórios de investigação ao alerta público

As principais datas mostram como as descobertas individuais deram origem a uma atualização do navegador e, depois, a alertas públicos de segurança:

• 28 de setembro de 2026: Xinyang Ge, da Anthropic, comunicou a CVE-2026-110169 no V8, com a assistência do Claude.
• 30 de setembro: Zhenpeng (Leo) Lin, da depthfirst, comunicou a sobrecarga de buffer crítica no ANGLE.
• De 1 a 6 de outubro: a Google e outros investigadores comunicaram várias outras vulnerabilidades críticas e de gravidade elevada incluídas nesta versão.
• 13 de outubro: a Google anunciou a atualização estável do Chrome com 37 correções de segurança.
• 14 de outubro: a CERT-In emitiu o seu alerta e a HKCERT publicou um boletim que abrange os mesmos 37 identificadores.

A data de lançamento da Google marca o início da distribuição. Como a empresa prevê que esta demore dias ou semanas, a atualização continuará a ser disponibilizada depois do anúncio. Por isso, é útil voltar a verificar nos computadores onde inicialmente não apareça nenhuma atualização disponível.

Como concluir a atualização

Os utilizadores do Chrome podem começar pelo ecrã de atualização integrado no navegador. Os passos são simples:

• Abra o Chrome e selecione o menu dos três pontos no canto superior direito.
• Selecione Ajuda e, depois, Acerca do Google Chrome.
• Deixe o Chrome procurar e transferir as atualizações disponíveis.
• Guarde qualquer trabalho por concluir e selecione Reiniciar se lhe for solicitado.
• Volte à página «Acerca do Google Chrome» para verificar a versão instalada.

O reinício é importante porque transferir a atualização e executar o navegador atualizado são passos distintos. Manter aberta uma sessão antiga do navegador pode atrasar a conclusão da instalação.

As organizações devem verificar as versões instaladas nos computadores de secretária, incluindo nos dispositivos cujos utilizadores raramente fecham o navegador. O objetivo concreto é confirmar que as máquinas estão a executar a versão com as correções e que foi feito qualquer reinício necessário.

Os utilizadores que ainda não vejam a nova versão devem voltar a verificar durante o período de distribuição da Google. O aviso oficial prevê dias ou semanas para a sua disponibilização, um prazo mais alargado do que esperar que todos os computadores a recebam no próprio dia do anúncio.

Os utilizadores do Edge também devem estar atentos a correções

O Microsoft Edge utiliza o Chromium, a plataforma de navegação que também está na base do Chrome. Por isso, algumas vulnerabilidades desse software partilhado podem exigir correções também no Edge.

A Microsoft reconheceu as mais recentes correções de segurança do Chromium num aviso datado de 13 de outubro e afirmou estar a preparar uma atualização. Na altura do alerta, a correspondente atualização de segurança do canal estável ainda não tinha sido lançada e a Microsoft não tinha indicado uma data para o lançamento.

Os utilizadores do Edge devem procurar a atualização da Microsoft quando esta estiver disponível. Quem utiliza os dois navegadores deve verificar cada um: o Chrome recebe a atualização de segurança da Google e o Edge recebe a sua através da Microsoft.

Pontos principais

• A CERT-In alertou os utilizadores da versão de secretária do Chrome a 14 de outubro de 2026 para vulnerabilidades que poderiam expor dados, perturbar o funcionamento do software ou permitir a execução de código malicioso.
• A atualização da Google de 13 de outubro corrige 37 falhas: sete críticas, 29 de gravidade elevada e uma moderada.
• As versões corrigidas são a 155.0.8059.79 para Linux e a 155.0.8059.79/.80 para Windows e macOS, ou versões posteriores.
• Os utilizadores devem selecionar Ajuda e, depois, Acerca do Google Chrome, instalar a atualização e reiniciar o navegador quando lhes for solicitado.
• A Google afirma que a distribuição poderá demorar dias ou semanas. A Microsoft ainda não tinha anunciado uma data para a correspondente atualização do canal estável do Edge.