RCE em sandbox ativamente explorado em todas as versões do Chromium
Uma vulnerabilidade recém-divulgada no Chrome/Chromium (CVE-2026-85046) no mecanismo JavaScript V8 permite execução remota de código dentro da sandbox do navegador por meio de uma página web especialmente criada, e está confirmadamente sendo explorada ativamente no mundo real. Embora a sandbox limite o comprometimento direto do sistema, comentaristas observam que ela é um passo-chave em cadeias de exploração de múltiplas falhas e destaca os riscos de uma monocultura de navegadores e do JavaScript sempre ativo. O incidente também reacende o debate sobre o pagamento relativamente baixo do Google para este bug e sobre a dependência contínua da indústria de linguagens sem segurança de memória para software crítico voltado à internet.
Natureza da vulnerabilidade e modelo de sandbox
- CVE-2026-85046 é um bug de type confusion no V8 que permite execução arbitrária de código de máquina dentro da sandbox do renderer do Chromium.
- Vários comentários esclarecem que isso não é uma fuga da sandbox: dá controle total do processo do renderer, não do sistema operacional do host.
- “RCE dentro da sandbox” é distinto de “JS arbitrário”: código nativo pode fazer acessos inválidos à memória, interagir com IPC e atingir superfície de ataque que JS não consegue, tornando isso um passo-chave em cadeias de exploração.
- A própria sandbox depende de mecanismos do SO (por exemplo, isolamento de processos, filtragem de syscalls); o V8 também tem sua própria heap sandbox, provavelmente envolvida aqui.
Explorabilidade, impacto e “ativamente explorado”
- A exploração exige interação do usuário (visitar uma página especialmente criada), o que explica a pontuação CVSS 8.8 em vez de 9.8–10.
- Vários observam que ataques graves normalmente encadeiam isso com um bug separado de fuga da sandbox; isoladamente, isso não permite acessar arquivos, criar processos etc.
- Outros enfatizam que atacantes com frequência encadeiam esse tipo de falha e que este CVE está no catálogo Known Exploited Vulnerabilities da CISA, então alguma exploração no mundo real está confirmada, embora os detalhes não sejam divulgados.
- Há debate sobre o quão “grave” isso é: alguns veem como algo rotineiro para navegadores modernos, outros enfatizam que ainda é uma base importante.
Ecossistema de navegadores e respostas de configuração
- As versões afetadas do Chrome são “até (excluindo) 152.0.7977.82”; correções já estão no Chrome estável e em outros navegadores baseados em Chromium (Brave, Vivaldi etc.).
- Alguns perguntam se variantes hardenizadas (por exemplo, com JIT desativado) são afetadas na prática.
- A discussão toca na monocultura do Chromium: qualquer navegador baseado em Chromium herda esses bugs do motor; isso motiva alguns a preferirem motores não Chromium (Firefox, WebKit, o emergente Ladybird).
Valor de bug bounty e ética
- O Google teria pago US$ 1.000 pelo relato; muitos veem isso como um valor insultantemente baixo para um RCE de sandbox de alto impacto, dado o que mercados cinzentos/negros poderiam pagar.
- Um longo subthread debate se pesquisadores deveriam vender para brokers ou reportar de forma responsável, e se os fornecedores deveriam pagar algo mais próximo do “valor de mercado”.
- Alguns argumentam que bug bounties servem para incentivar o reporte, não para superar criminosos; outros contra-argumentam que subpagamento empurrará talentos para mercados clandestinos.
Segurança de memória, JIT e a web pesada em JavaScript
- Vários comentários conectam este bug (type confusion → corrupção de memória) ao argumento mais amplo a favor de linguagens seguras quanto à memória ou ao tipo, e contra C/C++ em motores de navegador.
- O JIT é criticado como uma superfície de ataque grande e frágil; alguns o desativam (ou desativam JS por completo), mas observam quebra significativa e regressões de desempenho na web atual.
- Surge também uma frustração mais ampla com a necessidade de executar JS/WASM arbitrário para navegação básica, além de nostalgia por um uso mais simples e centrado em documentos da web.