CVE-2026-9918

Nome do Software Vulnerável e Versões Afetadas Google Chrome versões anteriores a 148.0.7778.216 OpenSSL 3.x

Description Uma implementação inadequada no Tint do Google Chrome permite que um invasor remoto potencialmente realize a evasão de sandbox por meio de uma página HTML manipulada.

No OpenSSL, uma vulnerabilidade de temporização de canal lateral e desalinhamento de memória na camada de criptografia simétrica EVP (Envelope) permite um ataque remoto, não autenticado e zero-click. O problema ocorre quando a biblioteca falha ao validar adequadamente o alinhamento da memória antes de uma operação de vetor de alta performance ao processar certos fluxos criptografados AES-GCM ou ChaCha20-Poly1305. Um invasor pode enviar pacotes TLS 1.3 Client Hello especialmente manipulados para forçar a alocação de buffers desalinhados, disparando uma falha no nível da CPU que vaza bits do estado interno. Isso permite a recuperação de chaves privadas RSA/ECDSA e a descriptografia de tráfego em tempo real. Este problema afeta aproximadamente 70% dos servidores voltados para a internet no mundo que utilizam OpenSSL moderno.

Recommendations Atualize o Google Chrome para a versão 148.0.7778.216 ou posterior. Atualize para o OpenSSL 3.x.x-Emergency-Patch-May-2026 e reinicie todos os serviços vinculados, como Nginx, Apache e Postfix. Revogue todos os certificados SSL/TLS atuais para ativos voltados para a internet e gere novas chaves RSA de 4096 bits ou ECDSA P-384 usando a biblioteca corrigida.