Google corrige falha zero-day no Chrome: CVE-2026-125350

Em 9 de novembro de 2026, o Google informou que a falha CVE-2026-125350, no componente XML do Chrome, é de alta gravidade e que há uma exploração em andamento. A empresa listou versões corrigidas para Windows, Mac, Linux e Android; a distribuição seria gradual, conforme os avisos publicados naquele dia (desktop e Android).

A falha é do tipo use-after-free: ocorre quando um programa tenta usar um trecho de memória depois que ele foi liberado. O Google classificou o problema no XML como de alta gravidade e disse que uma exploração da vulnerabilidade existe em circulação. Isso descreve a exploração da falha, não confirma que um usuário específico tenha sido comprometido.

Versões do Chrome com a correção

Os números indicados pelo Google variam conforme o sistema. Para Android, a empresa disse que a versão listada contém as mesmas correções de segurança das versões correspondentes para computador, salvo indicação em contrário (aviso do Android).

Confira a versão correspondente ao seu sistema: Windows e Mac têm duas numerações listadas, enquanto Linux e Android aparecem com a versão 157.0.8103.50.

No aviso de 9 de novembro, o Google estimou que a atualização para computador chegaria ao longo dos dias ou semanas seguintes. Para Android, disse que a versão seria disponibilizada no Google Play nos dias seguintes. Essas previsões foram divulgadas naquela data; o número da versão é a referência para identificar a correção em cada plataforma.

Google registra dois relatos da falha

O aviso do Google atribui a Arni Hardarson, da Neonix Security, um relato feito em 12 de outubro de 2026. A empresa também lista um relato anônimo em 6 de novembro. O comunicado de atualização foi publicado em 9 de novembro.

A nova falha é distinta da atualização de desktop com 52 correções de segurança anunciada em outubro e abordada pelo NeoTeo em outra reportagem sobre o Chrome.