ChromeOS 156 corrige sete vulnerabilidades de alta gravidade

O Google distribuiu uma nova versão estável do ChromeOS e do ChromeOS Flex com correções para dez vulnerabilidades do navegador, sete delas classificadas pela empresa como de alta gravidade. O pacote M-156 leva o sistema à versão 16836.32.0 e inclui o navegador 156.0.8078.93. O aviso foi publicado em 6 de novembro de 2026 e informa que a atualização já começou a chegar aos dispositivos do canal estável.

Entre as falhas de alta gravidade, três envolvem uso de memória após liberação: CVE-2026-121076 no WebXR, CVE-2026-79235 no WebGL e CVE-2026-121241 no componente de navegação. Esse tipo de erro ocorre quando um programa continua acessando uma região de memória que já deveria ter sido descartada, condição que pode provocar corrupção de memória e comportamentos inesperados. O boletim também relaciona a CVE-2026-121201, igualmente de alta gravidade, no componente de animação.

Outras três vulnerabilidades de alta gravidade completam o grupo prioritário. A CVE-2026-121208 é uma leitura fora dos limites no componente de mídia; a CVE-2026-121233 é uma confusão de tipos no CacheStorage; e a CVE-2026-121213 trata de um recurso não inicializado no processamento de imagens. A página oficial não informa exploração ativa nem fornece pontuação CVSS, por isso não é possível concluir, apenas com esse aviso, que as falhas estejam sendo usadas em ataques.

O pacote inclui ainda duas falhas de gravidade média e uma de baixa gravidade. A CVE-2026-121184 é outra leitura fora dos limites em mídia, a CVE-2026-121135 é descrita como um problema de segurança na plataforma e a CVE-2026-121141 envolve validação inadequada de entrada no componente de edição. O Google não publicou detalhes adicionais sobre cenários de exploração no comunicado consultado.

Para organizações que administram Chromebooks ou equipamentos com ChromeOS Flex, a medida prática é confirmar a distribuição da versão 16836.32.0 e verificar se os dispositivos foram reiniciados quando necessário para concluir a atualização. A prioridade deve ser maior para máquinas que acessam conteúdo da internet ou executam aplicações baseadas no navegador. Equipes de segurança também devem acompanhar futuras revisões do boletim e os registros individuais das CVEs, pois detalhes técnicos e avaliações de risco podem ser complementados após a publicação inicial.