A Microsoft confirmou que uma vulnerabilidade crítica do Chromium V8 está sendo explorada no mundo real. Identificada como CVE-2026-87491, a falha de escrita fora dos limites afeta o componente JavaScript V8 e também alcança o Microsoft Edge por ele ser baseado no Chromium.
O Edge Stable 152.0.4191.66, lançado em 4 de setembro de 2026, incorpora a correção. A Microsoft informa que o Google está ciente da exploração da CVE e que a versão atualizada do Edge deixou de ser vulnerável.
O que é a CVE-2026-87491
A falha é descrita pela Microsoft como uma escrita fora dos limites no V8, o motor que executa JavaScript e outros componentes de aplicações web baseadas em Chromium. Um erro desse tipo pode fazer o programa escrever dados além da área de memória reservada.
Em um navegador, o problema pode ser relevante porque páginas web e conteúdos incorporados são processados por código complexo. Se uma exploração conseguir controlar o fluxo do processo, ela pode causar corrupção de memória e, dependendo das mitigações e de outras falhas presentes, contribuir para execução de código.
A Microsoft não publica na página consultada o método completo de exploração nem atribui a atividade a um grupo específico. A única confirmação necessária para a resposta imediata é que o Google reportou exploração existente no mundo real e que a correção foi incorporada ao Chromium e ao Edge.
Por que usuários do Edge devem agir
O problema não é necessariamente uma falha exclusiva do código proprietário da Microsoft. O Edge baseado em Chromium incorpora componentes do projeto Chromium, incluindo o V8. Por isso, a atualização do navegador é necessária mesmo quando o sistema operacional e outros aplicativos estão atualizados.
Manter uma aba aberta por vários dias, adiar o reinício ou bloquear atualizações automáticas pode deixar o navegador em uma versão vulnerável. Em ambientes corporativos, a versão precisa ser verificada no inventário, e não apenas presumida a partir da imagem do sistema operacional.
Versão corrigida
| Produto | Versão de referência | Data |
|---|---|---|
| Microsoft Edge Stable | 152.0.4191.66 ou posterior | 4 de setembro de 2026 |
| Chromium base | 152.0.7977.83 na versão de referência do Edge | 4 de setembro de 2026 |
A tabela representa a versão do Edge documentada pela Microsoft como não vulnerável. Como o navegador recebe atualizações contínuas, instale a versão mais recente oferecida pelo canal oficial em vez de fixar permanentemente o número mínimo.
Para verificar o navegador, abra o menu de três pontos no canto superior direito, selecione Ajuda e comentários e depois Sobre o Microsoft Edge. A tela mostra a versão instalada e procura atualizações disponíveis.
Recomendações imediatas
Atualize o Edge agora. Abra a página Sobre o Microsoft Edge e permita o download da versão disponível. Reinicie o navegador para que o processo atualizado substitua o processo antigo.
Confirme a versão depois do reinício. Um download concluído não significa necessariamente que todas as janelas antigas foram encerradas. Verifique novamente o número exibido pelo navegador.
Proteja o canal de atualização. Use somente o mecanismo integrado do Edge ou os pacotes distribuídos por ferramentas oficiais da Microsoft. Não instale supostas correções encontradas em anúncios, pop-ups ou páginas desconhecidas.
Reduza a exposição enquanto aguarda. Evite navegar em sites não confiáveis e abrir documentos ou links inesperados em um Edge desatualizado. Essa medida é temporária e não substitui o patch.
Orientações para equipes de TI
Consulte o inventário de endpoints e identifique instalações abaixo da versão 152.0.4191.66. Dê prioridade a máquinas usadas para administração de identidades, VPN, nuvem, sistemas financeiros e acesso a dados sensíveis.
Use políticas corporativas para manter as atualizações automáticas habilitadas, controlar extensões e impedir que usuários executem versões portáteis ou canais não autorizados do navegador. Após a atualização, confirme a versão pelo MDM, pelo inventário de software ou por uma consulta centralizada.
Verifique também navegadores baseados em Chromium distribuídos pela organização. A CVE é do V8/Chromium, e outros produtos que incorporam o mesmo componente podem ter advisories e cronogramas próprios. Não conclua que uma atualização do Edge corrigiu automaticamente todos os navegadores instalados.
Investigação de possível exploração
A Microsoft não fornece, na página consultada, indicadores específicos ou uma cadeia de exploração completa para essa CVE. Não invente regras baseadas apenas no número da vulnerabilidade. Correlacione telemetria do navegador, EDR, proxy, DNS e autenticação.
Procure travamentos anormais do Edge próximos a acessos web suspeitos, criação inesperada de processos filhos, downloads não solicitados, execução de arquivos temporários e conexões de saída incompatíveis com o perfil do usuário. Um evento isolado não confirma exploração, mas pode orientar a preservação de evidências.
Se houver suspeita de comprometimento, isole o endpoint conforme o plano de resposta, preserve logs e memória quando isso for viável e atualize o navegador por fonte oficial. Depois, avalie credenciais utilizadas no dispositivo e revise alterações persistentes antes de devolvê-lo à rede corporativa.
Conclusão
A CVE-2026-87491 é uma falha de escrita fora dos limites no V8, o motor JavaScript do Chromium. A Microsoft confirma que a exploração existe no mundo real e que o Edge 152.0.4191.66, lançado em 4 de setembro de 2026, inclui a correção.
Atualize o Edge, reinicie o navegador, confirme a versão e faça o mesmo inventário para outros produtos baseados em Chromium. Como a exploração já foi confirmada, adiar a atualização deixa uma superfície desnecessária aberta mesmo que o usuário não perceba sintomas visíveis.
Fontes primárias
Microsoft Security Response Center: Chromium CVE-2026-87491: Out of bounds write in V8.
Microsoft Edge: Notas de segurança do Microsoft Edge.
CVE.org: CVE-2026-87491.