{"id":2687,"date":"2026-09-05T08:58:54","date_gmt":"2026-09-05T11:58:54","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/05\/cve-2026-85046-google-chromium-v8-rce-exploitado-ativamente\/"},"modified":"2026-09-05T08:58:54","modified_gmt":"2026-09-05T11:58:54","slug":"cve-2026-85046-google-chromium-v8-rce-exploitado-ativamente","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/05\/cve-2026-85046-google-chromium-v8-rce-exploitado-ativamente\/","title":{"rendered":"CVE-2026-85046: Google Chromium V8 RCE Exploitado Ativamente"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

A CVE-2026-85046 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u00e9 o alerta m\u00e1ximo da semana: o Google Chrome e todos os navegadores baseados no Chromium, incluindo Microsoft Edge e Opera, est\u00e3o sob ataque ativo explorando uma falha de type confusion<\/strong> no motor JavaScript V8. A CISA incluiu a falha no cat\u00e1logo KEV (Known Exploited Vulnerabilities), o que significa que organiza\u00e7\u00f5es federais dos EUA t\u00eam prazo obrigat\u00f3rio para corre\u00e7\u00e3o \u2014 e para o setor privado, o recado \u00e9 claro: a janela de remedia\u00e7\u00e3o precisa ser tratada como urg\u00eancia cr\u00edtica.<\/p>\n

Em um s\u00e1bado, 5 de setembro de 2026, o cen\u00e1rio de amea\u00e7as cibern\u00e9ticas n\u00e3o d\u00e1 folga. Enquanto equipes de seguran\u00e7a trabalham em escala reduzida, grupos de amea\u00e7a avan\u00e7ada intensificam campanhas contra navegadores corporativos e endpoints de usu\u00e1rios finais. A explora\u00e7\u00e3o de uma vulnerabilidade de zero-day no V8 permite que um atacante remoto execute c\u00f3digo arbitr\u00e1rio dentro do sandbox do navegador apenas com uma p\u00e1gina HTML maliciosa \u2014 sem intera\u00e7\u00e3o al\u00e9m da visita ao site comprometido.<\/p>\n

O risco \u00e9 amplificado porque o V8 \u00e9 o motor central de todos os derivados do Chromium. Uma \u00fanica falha se propaga para dezenas de produtos: Google Chrome, Microsoft Edge, Opera, Brave, Vivaldi, Electron (aplicativos como Slack, Discord, VS Code) e muitos outros. Para empresas, isso significa que um \u00fanico e-mail de phishing com link malicioso pode comprometer o endpoint inteiro, mesmo com o sandbox ativo, dependendo da cadeia de explora\u00e7\u00e3o utilizada.<\/p>\n

Neste artigo t\u00e9cnico, analisamos a CVE-2026-85046 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> em profundidade: o que \u00e9 a falha, como funciona o ataque, quais produtos e vers\u00f5es est\u00e3o afetados, o impacto real para organiza\u00e7\u00f5es, as etapas imediatas de mitiga\u00e7\u00e3o, verifica\u00e7\u00e3o p\u00f3s-patch e o contexto hist\u00f3rico que torna este evento especialmente preocupante. Se voc\u00ea gerencia endpoints, esta \u00e9 a leitura que deve ser feita AGORA.<\/p>\n

O que \u00e9 a CVE-2026-85046<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-85046<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH (AV:N\/AC:L\/PR:N\/UI:R\/S:U\/C:H\/I:H\/A:H)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork \/ Remoto (explora\u00e7\u00e3o via p\u00e1gina HTML)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nGoogle Chromium V8 \u2014 Google Chrome, Microsoft Edge, Opera, outros navegadores baseados em Chromium<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-843 \u2014 Access of Resource Using Incompatible Type (‘Type Confusion’)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n05\/09\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Google Chrome 128.0.6613.85 ou superior \/ Microsoft Edge 128.0.2739.42 ou superior<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-85046<\/strong> \u00e9 uma vulnerabilidade de type confusion<\/strong> no motor JavaScript V8<\/strong> do Google Chromium. Type confusion \u00e9 uma classe de bug de mem\u00f3ria que ocorre quando o programa acessa um recurso usando um tipo de dado incompat\u00edvel com o tipo real alocado. Em termos pr\u00e1ticos, o V8 armazena objetos JavaScript em mem\u00f3ria com metadados de tipo. Quando um objeto \u00e9 interpretado como um tipo diferente (por exemplo, um array como um objeto de fun\u00e7\u00e3o), o atacante pode manipular ponteiros internos e obter leitura\/escrita arbitr\u00e1ria de mem\u00f3ria.<\/p>\n

O resultado cl\u00e1ssico de um type confusion no V8 \u00e9 a capacidade de quebrar o isolamento do motor JavaScript \u2014 n\u00e3o o sandbox do navegador inteiro, mas a prote\u00e7\u00e3o que impede que c\u00f3digo JavaScript acesse mem\u00f3ria fora de sua \u00e1rea leg\u00edtima. Com essa primitiva, o atacante controla o fluxo de execu\u00e7\u00e3o dentro do processo do renderer. A falha \u00e9 classificada como High<\/strong> (n\u00e3o Critical) porque a execu\u00e7\u00e3o de c\u00f3digo acontece dentro do sandbox do Chromium; no entanto, em combina\u00e7\u00e3o com outras vulnerabilidades (como uma escalada de privil\u00e9gios do sandbox), o impacto pode chegar a execu\u00e7\u00e3o remota de c\u00f3digo total<\/strong> no sistema operacional.<\/p>\n

O Google confirmou em boletim de seguran\u00e7a que a falha j\u00e1 \u00e9 explorada em ataques reais. O padr\u00e3o \u00e9 t\u00edpico de espionagem cibern\u00e9tica e cibercrime: o atacante hospeda ou injeta uma p\u00e1gina HTML maliciosa em um site leg\u00edtimo (via comprometimento de terceiros, an\u00fancios maliciosos ou phishing direto) e a v\u00edtima simplesmente visita o link. Nenhum download ou execu\u00e7\u00e3o de arquivo \u00e9 necess\u00e1rio. A natureza de clique \u00fanico (ou at\u00e9 zero cliques, dependendo da cadeia) torna o risco extremamente alto para esta\u00e7\u00f5es de trabalho corporativas.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-85046<\/h3>\n

Para entender a gravidade da CVE-2026-85046<\/strong>, \u00e9 preciso mergulhar no mecanismo de explora\u00e7\u00e3o. O motor V8 compila JavaScript para c\u00f3digo de m\u00e1quina em tempo de execu\u00e7\u00e3o. Durante a otimiza\u00e7\u00e3o, o compilador JIT (Just-In-Time) gera c\u00f3digo especializado baseado no tipo dos objetos observados. Se um objeto muda de tipo ap\u00f3s a otimiza\u00e7\u00e3o, o c\u00f3digo gerado pode acessar propriedades no offset errado da mem\u00f3ria \u2014 \u00e9 a\u00ed que o type confusion se materializa.<\/p>\n

O bug espec\u00edfico desta CVE reside na manipula\u00e7\u00e3o de objetos Map<\/strong> e WeakMap<\/strong> no V8. Um atacante pode for\u00e7ar o engine a confundir a representa\u00e7\u00e3o interna de um Map com outro tipo, criando um cen\u00e1rio em que um ponteiro para dados de valor \u00e9 interpretado como ponteiro para c\u00f3digo ou vice-versa. Isso permite:<\/p>\n

    \n
  1. Leitura arbitr\u00e1ria de mem\u00f3ria<\/strong>: o atacante l\u00ea ponteiros de objetos internos, vazando endere\u00e7os e derrubando ASLR (Address Space Layout Randomization).<\/li>\n
  2. Escrita arbitr\u00e1ria de mem\u00f3ria<\/strong>: com endere\u00e7os vazados, o atacante sobrescreve a mem\u00f3ria do processo, por exemplo, modificando o c\u00f3digo JIT ou corrompendo estruturas de dados.<\/li>\n
  3. Execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio<\/strong>: ao controlar o fluxo de execu\u00e7\u00e3o, o atacante pode executar payloads dentro do processo do renderer.<\/li>\n<\/ol>\n

    O CVSS 3.1 atribu\u00eddo \u00e9 8.8 (High)<\/strong> com vetor AV:N\/AC:L\/PR:N\/UI:R\/S:U\/C:H\/I:H\/A:H<\/strong>. A exig\u00eancia de intera\u00e7\u00e3o do usu\u00e1rio (UI:R) reduz o score em rela\u00e7\u00e3o a um ataque sem clique, mas a complexidade de ataque \u00e9 baixa (AC:L) \u2014 a explora\u00e7\u00e3o \u00e9 confi\u00e1vel e n\u00e3o requer condi\u00e7\u00f5es especiais de mem\u00f3ria ou timing. O escopo \u00e9 U<\/strong> (Unchanged) porque a execu\u00e7\u00e3o de c\u00f3digo fica confinada ao sandbox do processo do renderer; contudo, se encadeada com uma fuga de sandbox, o escopo muda para C<\/strong> (Changed) e o score sobe para Critical.<\/p>\n

    \u00c9 importante destacar que type confusion no V8<\/strong> \u00e9 uma das classes de bug mais ca\u00e7adas por equipes de explora\u00e7\u00e3o. A s\u00e9rie CVE-2021-21224<\/strong>, CVE-2022-1096<\/strong> e CVE-2023-2033<\/strong> s\u00e3o exemplos anteriores de falhas V8 exploradas em zero-day. A recorr\u00eancia indica que o V8, apesar das mitiga\u00e7\u00f5es avan\u00e7adas (sandbox, isolamento de sites, mitiga\u00e7\u00e3o de ponteiros), permanece um alvo de alto valor devido \u00e0 sua complexidade e \u00e0 superf\u00edcie de ataque ampla.<\/p>\n

    Na pr\u00e1tica, o atacante cria um script JavaScript que desencadeia o bug de forma repetida e previs\u00edvel, por exemplo, alternando tipos de objetos em loops de otimiza\u00e7\u00e3o at\u00e9 que a confus\u00e3o de tipo seja alcan\u00e7ada. Em seguida, o script mapeia a mem\u00f3ria, ajusta o payload para a arquitetura da CPU (x64, ARM64) e executa shellcode. Todo o processo acontece em milissegundos, sem que o usu\u00e1rio perceba qualquer anomalia al\u00e9m de uma poss\u00edvel lentid\u00e3o moment\u00e2nea.<\/p>\n

    Produtos e Vers\u00f5es Afetados pela CVE-2026-85046<\/h3>\n

    O alcance da CVE-2026-85046 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> vai al\u00e9m do Google Chrome. Qualquer software que utilize o Chromium V8 est\u00e1 potencialmente exposto. Listamos os principais produtos afetados e as vers\u00f5es corrigidas:<\/p>\n