Chrome CVE-2026-87491: garantir que a atualização instalada entre em uso ao reiniciar o navegador

O que é

Situação em 25 de outubro de 2026. O comunicado do Google sobre a versão para desktop, datado de 8 de setembro de 2026, lista CVE-2026-87491, uma escrita fora dos limites no V8, e confirma sua exploração em ataques reais. As versões de segurança são 153.0.8010.36 para Linux e 153.0.8010.36/.37 para Windows e Mac. Essas são as versões de correção documentadas, não uma afirmação sobre o navegador mais recente disponível. Consulte os comunicados Stable posteriores e a documentação de políticas corporativas antes da implantação; o comunicado citado não apresenta uma data de revisão separada visível.

Por que importa

A documentação de atualização do Google distingue o download de uma atualização de sua aplicação por meio da reinicialização do navegador. Assim, um parque de dispositivos pode distribuir o pacote enquanto os usuários continuam navegando com um processo antigo. A configuração de reinicialização recomendada do Google permite dispensar o aviso e continuar usando essa versão antiga. Uma reinicialização obrigatória resolve essa lacuna operacional.

A seguir, propõe-se um fluxo para concluir a correção. Suas evidências são a versão exibida pelo navegador, as políticas efetivamente aplicadas e o resultado da reinicialização; ele não deduz um comprometimento a partir de um número de versão ou de uma falha do navegador.

Como aplicar

• Identifique o navegador em uso. Registre o sistema operacional, o canal de lançamento e a versão exibida em Ajuda > Sobre o Google Chrome. Compare-a com a versão do fornecedor aplicável e então escolha uma versão de referência de segurança atual e com suporte. Mantenha o número de versão do Linux separado do par para Windows/Mac.
• Permita a entrega. Em dispositivos Windows gerenciados, examine Google Update > Applications e a política da aplicação Google Chrome. Habilite a substituição da política de atualização, permitindo atualizações. Verifique se há uma fixação de versão de destino que impeça alcançar a versão de referência de segurança. O Google alerta que as fixações devem ser temporárias. Administradores de Linux devem distribuir as atualizações do navegador pelo gerenciador de pacotes.
• Exija a ativação. Configure RelaunchNotification como obrigatório, com valor 2, e defina RelaunchNotificationPeriod com o prazo aprovado pela organização, em milissegundos. Revise RelaunchWindow em conjunto com esse prazo: programar uma janela pode adiar a conclusão. Avise os usuários para que possam salvar trabalhos em andamento antes da aplicação obrigatória.
• Verifique a configuração efetiva. Após implantar as políticas e reiniciar o navegador, abra chrome://policy, selecione Recarregar políticas e examine RelaunchNotification, RelaunchNotificationPeriod e RelaunchWindow. O Google especifica o estado OK e valores correspondentes à política pretendida. Investigue sobreposições de configuração em vez de presumir que o console de gerenciamento reflete o estado do endpoint.
• Conclua com evidências da versão em execução. Volte a Sobre o Google Chrome após a reinicialização e registre a versão exibida. Mantenha como exceções não resolvidas os dispositivos com falha no download, reinicialização pendente ou ausência de inventário. Registre um responsável e a próxima ação de correção para cada exceção.

Armadilhas

Não trate uma notificação de reinicialização como prova de que ela ocorreu. O Google também observa que as políticas de computador do Windows exigem ingresso em domínio ou gerenciamento de dispositivos. Uma política configurada em uma máquina não gerenciada não é evidência suficiente. Os números de versão de setembro estabelecem o ponto histórico a partir do qual a correção existe, não uma autorização para permanecer neles indefinidamente. Este artigo não afirma qual é a posição ordinal dessa vulnerabilidade entre as vulnerabilidades de dia zero do ano. Não é necessário reproduzir a exploração para verificar a implantação.