Google Chrome · Código de ataque público

Chrome 156 corrige 52 falhas; IA da Anthropic escapou da sandbox

19 de out. de 2026 · 1 min de leitura

O Google publicou o Chrome 156 estável para desktop com correções para 52 falhas de segurança, sendo 4 críticas, segundo a SecurityWeek e o TheHackersNews. Um writeup público detalha que um modelo de IA ainda não lançado da Anthropic montou cinco cadeias de exploits funcionais em Chrome, Safari, Android, Windows e Linux; no Chrome, uma escapou da sandbox e abriu a Calculadora no macOS apenas ao carregar uma página. O Google não menciona exploração em campo; atualize para 156.0.8078.47/.48 (Windows e Mac) ou 156.0.8078.47 (Linux).

Por Redação HIFY Radar Atualizado 28/10/2026 10:44 Receba isso todo dia →← Voltar ao feed 3 fontes

AltaFalhaCódigo de ataque públicoCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

O Google lançou o Chrome 156 para desktop com correções para 52 falhas de segurança; 4 são críticas, segundo a SecurityWeek. Um writeup público relata que um modelo de IA ainda não lançado da Anthropic montou cinco cadeias de exploits funcionais, incluindo uma que escapou da sandbox do Chrome. O Google não mencionou exploração em campo.

Por que importa

Uma das falhas críticas, a CVE-2026-118306, permite execução de código fora da sandbox por meio de uma página HTML maliciosa, segundo a SecurityWeek. Qualquer funcionário com Chrome desatualizado pode ser comprometido ao abrir um link. O caso também mostra que modelos de IA já encontram e encadeiam falhas reais em produtos amplamente usados.

O que fazer

Atualizar o Chrome para 156.0.8078.47/.48 (Windows e Mac) ou 156.0.8078.47 (Linux) em todos os computadores da empresa. Forçar a atualização por política de gerenciamento e verificar as versões instaladas.

Para o time técnico

Afetados: Google Chrome (desktop) · Google Chrome (desktop) antes de 156.0.8078.47 (Google Chrome Releases).
Exploração: Sem exploração em campo relatada; Google e Mozilla não mencionam exploração, segundo a SecurityWeek. Existe writeup público com cinco cadeias de exploits funcionais montadas por um modelo de IA ainda não lançado da Anthropic (TheHackersNews).
Correção: Chrome 156.0.8078.47/.48 (Windows e Mac) e 156.0.8078.47 (Linux), segundo o Google Chrome Releases; a SecurityWeek cita 156.0.8078.73/.74 (Windows e macOS) e 156.0.8078.73 (Linux).
Vetor: Navegador desktop. Falhas críticas: corrupção de memória em FileSystem, validação incorreta de entrada em FileAPI e Skia e use-after-free em Layout (SecurityWeek). A CVE-2026-118306 (FileSystem) permite execução arbitrária de código fora da sandbox por página HTML criada. A cadeia da IA foi disparada apenas ao carregar uma página (TheHackersNews).
Mais detalhes: Segundo o TheHackersNews, a IA Claude descobriu dezenas de vulnerabilidades no Chrome e montou uma cadeia de exploit multiestágio que escapou da sandbox e executou código. A SecurityWeek contabiliza 46 falhas de severidade alta corrigidas e informa que 39 das 52 falhas não terão recompensa, a maioria encontrada internamente ou com auxílio de IA. No mesmo dia, a Mozilla lançou o Firefox 159 com 167 correções (108 de severidade alta), além do Thunderbird 159 e 153.6 e do Firefox ESR 153.6 e 115.44. Início da distribuição: 2026-10-20 (Google Chrome Releases).

Linha do tempo

28/10/2026 10:44
Matéria de resumo contabiliza 52 falhas de segurança corrigidas na atualização do Chrome 156.
28/10/2026 05:18
Writeup público detalha cinco cadeias de exploits montadas por um modelo de IA ainda não lançado da Anthropic; no Chrome, uma delas escapou da sandbox e abriu a Calculadora no macOS apenas ao carregar uma página.
26/10/2026 13:20
Incidente aberto.