Como proteger seu Android do Chrome zero-day CVE-2026-85046

O Google confirmou que atacantes estão explorando ativamente uma falha de segurança no motor V8 do Chrome. A vulnerabilidade, registrada como CVE-2026-85046, é um erro de type confusion no motor JavaScript que permite a uma página web maliciosa executar código dentro do navegador. O Google a classificou como High com pontuação CVSS de 8.8, e é o sexto Chrome zero-day corrigido em 2026.

Se você usa Chrome no Android (ou qualquer navegador baseado em Chromium como Edge, Brave ou Vivaldi), isto é o que aconteceu, por que importa e o que fazer a respeito.

O que o CVE-2026-85046 faz

A vulnerabilidade está no V8, o motor JavaScript e WebAssembly do Chrome. Especificamente, é um erro de type confusion nos módulos do compilador JIT Maglev e TurboFan. Quando o V8 otimiza chamadas inline para Array.prototype.sort, ele calcula incorretamente os tipos de elementos de um array. O código JIT tira um instantâneo dos elementos, executa uma função de comparação controlada pelo usuário e depois grava o instantâneo com uma suposição de tipo incorreta. Essa inconsistência corrompe a memória de forma explorável por um atacante.

Em termos simples: o V8 confunde o tipo de dado que está processando. Uma página web manipulada pode enganar o motor para que trate ponteiros de objetos como inteiros simples (ou vice-versa), o que quebra a segurança de memória. O resultado é execução arbitrária de código dentro do processo de renderização do Chrome.

O Google não publicou os detalhes completos do exploit e está restringindo deliberadamente o acesso às informações técnicas até que a maioria dos usuários tenha atualizado.

Passo 1: Verifique sua versão do Chrome no Android

Abra o Chrome no seu dispositivo Android. Toque no menu de três pontos no canto superior direito e selecione Configurações. Role até a parte inferior e toque em "Sobre o Chrome". Você verá o número completo da versão listado abaixo do nome do aplicativo.

A versão corrigida é 152.0.7977.82 ou superior. Se sua versão começa com 152, mas o número final é menor que 0.7977.82, você ainda está vulnerável. Se você está em uma versão abaixo de 152, o mesmo se aplica.

Anote ou tire um print do número da versão. Você precisará dele para verificação após a atualização.

Passo 2: Acione a atualização manualmente

O Chrome no Android é atualizado pelo Google Play, não pelo navegador. Isso confunde muitas pessoas porque a página "Sobre o Chrome" no desktop mostra um botão de atualização, mas no mobile não.

Abra a Google Play Store. Toque na sua foto de perfil no canto superior direito. Selecione "Gerenciar apps e dispositivo". Se o Chrome aparecer na lista de atualizações pendentes, toque em "Atualizar" ao lado dele. Se não aparecer, toque em "Verificar atualizações" para forçar uma busca. O botão de Install ou Download aparecerá se houver uma versão mais recente disponível.

Para usuários que desativaram a atualização automática do Chrome especificamente (não recomendado para um navegador), este é o momento de reativá-la. Vá até Play Store > Gerenciar apps > Chrome > toque nos três pontos > Ativar atualização automática.

Passo 3: Reinicie o Chrome completamente

Este é o passo que mais pessoas pulam. Baixar a atualização pela Play Store substitui o pacote do aplicativo no seu dispositivo, mas o processo do navegador que já está em execução continua usando o código antigo. O Chrome não aplica o patch de segurança até você reiniciá-lo completamente.

Feche o Chrome deslizando o aplicativo para fora da sua lista de apps recentes. Na maioria dos dispositivos Android, deslize de baixo para cima na tela para abrir o alternador de apps e depois deslize o Chrome para fora da tela. Espere alguns segundos e reabra o Chrome.

Para confirmar que o reinício funcionou, volte até Configurações > Sobre o Chrome e verifique se o número da versão corresponde ou supera 152.0.7977.82.

Passo 4: Verifique outros navegadores Chromium

Se você usa Microsoft Edge, Brave, Vivaldi ou Opera no Android, todos compartilham o mesmo motor V8 e são igualmente afetados. Cada fabricante publica sua própria atualização pela Play Store com uma versão corrigida do código base do Chromium.

Atualize cada navegador individualmente pela Play Store usando o mesmo processo do Passo 2. Usuários do Brave devem procurar especificamente pela versão 152.x ou superior. Usuários do Edge devem verificar um aumento similar de versão.

Se você instalou um navegador Chromium por download direto de APK em vez da Play Store, consulte o site oficial do navegador para obter a versão corrigida e baixe-a diretamente.

Passo 5: Limpe os dados do navegador após atualizar

Um exploit executado com sucesso dentro do processo de renderização do Chrome pode ter armazenado dados maliciosos no cache do navegador, cookies ou armazenamento local. Atualizar o navegador corrige a vulnerabilidade daqui para frente, mas não limpa nada que um atacante já possa ter colocado.

Vá até Chrome > Configurações > Privacidade e segurança > Limpar dados de navegação. Selecione "Imagens e arquivos em cache" e "Cookies e dados de sites". Escolha "Desde sempre" como período. Toque em "Limpar dados".

Isso fará logout dos sites e redefinirá o conteúdo em cache, o que é um pequeno incômodo. Dado que esta vulnerabilidade foi explorada ativamente, a troca vale a pena.

Como o ataque chega até você

O exploit exige uma única coisa: carregar uma página web maliciosa em um navegador vulnerável. Só isso. Sem download de arquivo, sem instalação de app, sem concessão de permissões. Apenas visitar uma página.

Os atacantes têm vários canais para fazer você carregar uma página maliciosa:

• E-mails de phishing com links que parecem legítimos
• Anúncios maliciosos em sites legítimos (malvertising)
• Mensagens em redes sociais com links encurtados ou disfarçados
• Sites legítimos comprometidos que injetam scripts maliciosos em suas páginas

O último caso é particularmente preocupante porque você não pode evitá-lo apenas com cautela. Um site em que você confia pode estar comprometido e servir o exploit sem que o dono do site saiba.

Dicas para se manter protegido

Ative as atualizações automáticas na Play Store. O Chrome deve estar sempre na versão mais recente. Vá até Play Store > perfil > Configurações > Preferências de rede > Atualizar apps automaticamente > Em qualquer rede. Isso garante que os patches do navegador cheguem sem sua intervenção.

Ative a proteção avançada no Chrome. Vá até Chrome > Configurações > Privacidade e segurança > Navegação segura. Selecione "Proteção avançada". Este modo usa verificações de URL em tempo real e análise mais profunda de arquivos, o que adiciona uma camada contra páginas maliciosas.

Verifique em chrome://version. Se você quer ser minucioso, digite chrome://version na barra de endereços. A string completa da versão aparece no topo. Confirme que cada dígito corresponde à versão corrigida.

Mantenha seu sistema Android atualizado também. O sandbox do Chrome limita o que um atacante pode fazer mesmo se explorar o V8, mas evasões de sandbox às vezes dependem de vulnerabilidades do sistema operacional. Atualizações do sistema fecham essas brechas. O Google publica notas de segurança no blog oficial do Chrome.

Solução de problemas comuns

O Chrome não mostra nenhuma atualização na Play Store. O Google distribui atualizações em etapas. Se a versão corrigida ainda não chegou ao seu dispositivo, pode demorar alguns dias. Você pode instalar o APK de uma fonte confiável se a espera for inaceitável, mas a maioria dos usuários deve apenas aguardar.

A atualização instala, mas o número da versão não muda. Você provavelmente não reiniciou o Chrome. Feche-o da lista de apps recentes e reabra. Se ainda mostrar a versão antiga, seu dispositivo pode ter múltiplas instalações do Chrome (estável, beta, dev). Certifique-se de estar verificando a correta.

A Play Store mostra "App não instalado" ou um código de erro. Limpe o cache da Play Store: Configurações > Apps > Google Play Store > Armazenamento > Limpar cache. Depois repita a atualização. Se o problema for espaço de armazenamento, libere pelo menos 200 MB e tente novamente.

Você está em um dispositivo gerenciado pelo trabalho. Dispositivos Android gerenciados podem restringir atualizações a lançamentos aprovados. Contate seu administrador de TI e mencione CVE-2026-85046. Implantações gerenciadas do Chrome são atualizadas através do console do Google Admin, que pode seguir um cronograma de lançamento mais lento.

Por que esta vulnerabilidade importa para usuários Android

O Chrome no Android executa o mesmo motor V8 que sua contraparte de desktop. O mesmo erro de type confusion, o mesmo caminho de exploit e o mesmo patch se aplicam. A superfície de ataque é na verdade mais ampla no celular porque as pessoas têm mais probabilidade de tocar em links de e-mails, mensagens e redes sociais nos seus telefones do que no desktop.

O sandbox no Chrome limita o dano ao processo do navegador. Um atacante que explora o CVE-2026-85046 obtém execução de código dentro do renderer, não controle total do dispositivo. Mas "apenas o renderer" ainda significa acesso aos seus cookies, senhas salvas, tokens de sessão e quaisquer dados que um site em que você esteja logado exponha através de sua API. Isso é suficiente para sequestrar contas.

A recompensa de 1.000 dólares do Google por esta descoberta recebeu algumas críticas por ser baixa para um zero-day com exploração ativa. O pesquisador, Salvatore Gulizia (Serotav), relatou a vulnerabilidade em 4 de agosto de 2026, e o Google a corrigiu aproximadamente um mês depois. A resposta relativamente rápida sugere que o Google tratou o caso com urgência apesar do pagamento modesto.

Google Chrome

Google LLC

Google Chrome é um aplicativo de navegação que combina busca inteligente, segurança reforçada e sincronização entre dispositivos.

ComunicaçãoNavegador

ComunicaçãoNavegador

Baixar (145.3 MB)

Conclusão

O CVE-2026-85046 é o sexto Chrome zero-day de 2026, e o fato de que os atacantes já o estavam usando significa que a ameaça não é teórica. Atualize o Chrome pela Play Store, reinicie o aplicativo, verifique se a versão indica 152.0.7977.82 ou superior e limpe seus dados de navegação. Se você usa Edge, Brave ou outro navegador Chromium, aplique os mesmos passos. Ativar as atualizações automáticas e a proteção avançada reduz a chance de que o próximo zero-day pegue você desprevenido.