O oitavo zero-day do Chrome este ano está na parte que lê XML, e a correção precisa de um reinício

Na segunda-feira, 9 de novembro, a Google distribuiu uma atualização do Chrome com nove correções de segurança. Uma delas pesa mais do que as outras. A CVE-2026-125350 é uma falha de memória na parte do Chrome que trata XML, um formato de dados simples que os sites usam nos bastidores, e o aviso da Google traz a frase que ninguém gosta de ler: «A Google tem conhecimento de que existe um exploit para a CVE-2026-125350 em circulação.»

São já oito os zero-days do Chrome explorados em 2026, pelas contas do BleepingComputer, tantos como em todo o ano de 2025, e ainda faltam sete semanas. Dois dos outros foram corrigidos em setembro. Segundo o CyberInsider, um investigador anónimo comunicou este a 6 de novembro, pelo que a Google entregou a correção em três dias. Como é habitual, a empresa não diz quem está a usar a falha nem contra quem, e os pormenores técnicos ficam reservados até a maioria dos utilizadores ter atualizado. Sabe-se o tipo: um use-after-free, em que o navegador continua a usar um bloco de memória que já devolveu, o que uma página web armadilhada pode aproveitar para executar o seu próprio código.

A versão corrigida é a 157.0.8103.50 ou .51 em Windows e Mac, e a 157.0.8103.50 em Linux. O Chrome vai buscá-la discretamente, mas há um senão: uma atualização descarregada não protege nada enquanto o navegador antigo continuar aberto. Se costuma manter quarenta separadores abertos durante semanas, abra o menu dos três pontos, escolha Ajuda, depois Acerca do Google Chrome, espere que a verificação termine e clique em Reiniciar. Os separadores voltam. O Edge, o Brave, o Opera e o Vivaldi assentam no mesmo código Chromium, por isso conte com as atualizações deles a seguir e instale-as quando forem propostas.

A verificação de atualizações de aplicações do Tendvane, que usa o winget, diz-lhe se o Chrome ou outro navegador no seu PC ainda está numa versão anterior.