Chrome corrige zero-day já explorado no V8: sexto do ano, e você precisa reiniciar o navegador

A CVE-2026-85046 permite executar código só de abrir uma página. O Google confirma exploit em circulação e liberou o Chrome 152.0.7977.82 — atualize e reinicie.

⚡ Em uma frase
O Google corrigiu uma falha no V8 que já estava sendo explorada em ataques reais — a sexta do tipo em 2026 — e a correção só entra em vigor depois que você reinicia o Chrome.

O Google liberou em 3 de setembro uma atualização de emergência do Chrome para corrigir a CVE-2026-85046, uma vulnerabilidade de confusão de tipo no V8, o motor que executa JavaScript e WebAssembly no navegador. A nota de segurança traz a frase que a empresa reserva para os casos sérios: "o Google está ciente de que um exploit para a CVE-2026-85046 existe em circulação".

As versões corrigidas são a 152.0.7977.82/.83 para Windows e macOS e a 152.0.7977.82 para Linux, distribuídas de forma progressiva — o que significa que nem todo mundo recebe no mesmo dia. No dia seguinte, 4 de setembro, a CISA, agência americana de cibersegurança, incluiu a falha no catálogo de vulnerabilidades exploradas e deu às agências federais até 18 de setembro para aplicar o patch.

É o sexto zero-day explorado corrigido no Chrome desde janeiro, num ano em que o intervalo entre eles tem sido de poucas semanas.

O que a falha faz

Confusão de tipo é quando o programa trata um dado como se fosse de outro tipo — e o V8, para ser rápido, faz apostas agressivas sobre o tipo de cada coisa que o JavaScript manipula. Segundo a descrição do pesquisador que reportou o bug, o compilador do V8 permite que um array contendo PACKED_ELEMENTS (objetos genéricos) receba o "mapa" de PACKED_SMI_ELEMENTS (inteiros pequenos). O motor passa a ler e escrever memória acreditando que ali só há números inteiros, quando na verdade há ponteiros — e essa diferença pode ser transformada em leitura e escrita arbitrárias na heap do JavaScript.

Na prática, o atacante só precisa que a vítima carregue uma página preparada: um link de phishing, um anúncio malicioso ou um site legítimo comprometido bastam. A partir daí ele executa código dentro do sandbox do Chrome. O CVSS é 8.8, e o que impede a nota de ser maior é justamente o sandbox — para sair dele e controlar o sistema, o atacante precisa encadear uma segunda falha, que é o padrão dos ataques direcionados que usam zero-day de navegador.

Como de costume, o Google segurou os detalhes técnicos e o acesso ao relatório do bug até que a maioria dos usuários esteja atualizada — e também não disse quem está explorando a falha nem contra quem.

🛡️ Curiosidade útil
A falha foi reportada por Salvatore Gulizia ("Serotav") em 4 de agosto. A correção saiu em 3 de setembro: trinta dias entre o relatório e o patch, período em que a exploração aconteceu. A recompensa paga pelo Google foi de US$ 1.000 — valor baixo para uma falha que chegou a ser usada em ataques reais, o que sugere que a exploração em circulação foi descoberta depois do relatório, não que o pesquisador a tenha demonstrado.

Seis em nove meses

A CVE-2026-85046 se junta a uma lista que não para de crescer em 2026:

CVE-2026-2441 — fevereiro
CVE-2026-3909 e CVE-2026-3910 — março, duas na mesma atualização
CVE-2026-5281 — abril
CVE-2026-11645 — junho
CVE-2026-85046 — setembro, no V8

O V8 é o alvo preferido porque é o componente mais exposto do navegador: todo site executa JavaScript nele, e o compilador JIT — que gera código de máquina a partir do JavaScript em tempo real — é onde as otimizações agressivas de tipo abrem espaço para esse tipo de erro. Confusão de tipo no V8 é a categoria mais frequente entre os zero-days do Chrome dos últimos anos.

Quem mais está exposto

O V8 não é só do Chrome. Edge, Brave, Opera, Vivaldi e todo navegador baseado em Chromium herdam a falha e recebem a correção no ritmo de cada fabricante — a Microsoft costuma liberar o Edge correspondente em poucos dias. O mesmo vale para aplicativos construídos sobre Electron (como Discord, Slack e VS Code), que embarcam uma cópia do Chromium e dependem de cada desenvolvedor atualizar a base.

Como atualizar — e por que reiniciar

O Chrome baixa a atualização sozinho, mas não a aplica enquanto o navegador estiver aberto. Quem mantém o Chrome rodando por dias (o cenário mais comum em desktop) continua na versão vulnerável mesmo com o patch já baixado.

💡 Dica rápida
Digite chrome://settings/help na barra de endereço. A página força a verificação, mostra a versão instalada e exibe o botão Reiniciar quando a nova versão estiver pronta. A versão precisa ser 152.0.7977.82 ou superior. As abas abertas são restauradas depois do reinício.

Em ambientes corporativos, administradores podem forçar o reinício via política (RelaunchNotification) para não depender do usuário.

🎯 O que isso muda

Para o usuário comum, a ação é uma só: abrir chrome://settings/help e reiniciar hoje. Para quem administra máquinas, o prazo da CISA (18 de setembro) é uma boa referência de urgência mesmo fora do setor público — exploit em circulação com patch disponível é a janela em que os ataques se multiplicam, porque a correção pública dá pistas sobre o bug.

O que observar a seguir: quando o Google abrir o relatório do bug e publicar os detalhes técnicos, e se algum grupo de análise de ameaças (o TAG do próprio Google ou empresas como a Kaspersky) atribuir a exploração a um ator específico — os zero-days de Chrome dos últimos anos quase sempre foram ligados a fornecedores de spyware comercial ou a operações patrocinadas por Estados, e esse padrão costuma se confirmar semanas depois do patch.