Alerta de Segurança: Nova Exploração Zero-Day em Navegadores Baseados em Chromium
Uma nova vulnerabilidade de dia zero (zero-day) foi descoberta em navegadores baseados em Chromium, como Google Chrome, Microsoft Edge, Vivaldi e Brave. É crucial que os usuários atualizem seus navegadores imediatamente para garantir a segurança.
Detalhes da Vulnerabilidade
A identificação oficial desta falha é CVE-2025-10585, classificada com uma pontuação de severidade “Alta” de 8.8.
Tecnicamente, trata-se de uma vulnerabilidade de “type confusion” (confusão de tipo) presente no compilador just-in-time (JIT) do motor JavaScript V8 do Chrome.
Como é uma exploração de dia zero, isso significa que ela já está sendo ativamente explorada por atacantes no momento. Por isso, a atualização imediata é essencial.
Versões Corrigidas e Disponibilidade de Patches
As versões mais recentes já contêm o patch de correção. Caso esteja utilizando o Microsoft Edge, a Microsoft já está ciente e deve liberar uma atualização em breve, geralmente dentro de um dia.
O navegador Brave já divulgou um patch para corrigir a falha.
Como Verificar e Aplicar Atualizações Manualmente
Para forçar a verificação e aplicação de atualizações no seu navegador:
- Acesse o menu localizado no canto superior direito.
- Procure a opção “Sobre o Google Chrome” (ou “Sobre o Microsoft Edge”, dependendo do seu navegador).
- O sistema deve iniciar o download automático da atualização.
- Após o download, basta reiniciar o navegador para que a correção seja aplicada.
Informações Técnicas Adicionais
Analisando o commit de código do patch, a descrição aponta que a correção impede a suposição de que os 32 bits superiores de uma variável são zero, corrigindo uma checagem ausente sobre o tipo de dado esperado em uma variável.
Um ponto notável é que esta vulnerabilidade pode, aparentemente, afetar apenas CPUs com arquitetura ARM64. No entanto, não há certeza absoluta sobre isso.
Mitigação Através da Desativação do JIT Compiler
Acredita-se que esta vulnerabilidade específica seria mitigada caso o compilador JIT do motor V8 estivesse desativado. Desabilitar o JIT Compiler é uma recomendação feita no passado para proteger contra mais da metade das vulnerabilidades zero-day que ocorrem. Se você já desativou essa função, é provável que já esteja protegido.
A desativação do JIT (Just-In-Time Compilation) pode aumentar drasticamente a segurança do seu navegador. Como o compilador existe apenas para acelerar a execução de código JavaScript, e os computadores atuais são rápidos o suficiente, a perda de desempenho geralmente não é perceptível.
Como Desativar a Otimização do V8
No Google Chrome:
- Pesquise por “V8” nas configurações.
- Acesse “Gerenciar Otimização e Segurança do JavaScript”.
- Selecione a opção “Não permitir que sites usem otimização de JavaScript”.
- É possível adicionar exceções caso algum site específico apresente lentidão após a mudança.
No Microsoft Edge:
- Vá para “Privacidade, Pesquisa e Serviços”.
- Acesse a seção “Segurança”.
- Ative a opção “Aprimorar sua segurança na Web”.
- Defina o nível de segurança, no mínimo, para “Equilibrado”, ou, preferencialmente, para “Estrito”.
Ao usar o Edge, ativar a segurança aprimorada também adiciona outras proteções de segurança, tornando-o um ajuste recomendado de qualquer forma.
Status de Atualização para Outros Navegadores
Para o Edge, como mencionado, o patch ainda pode não ter sido liberado, mas a Microsoft costuma lançar correções rapidamente, geralmente em até um dia.
Brave e Chrome também costumam liberar patches dentro de 24 horas, com o Chrome geralmente sendo o primeiro.
Para Opera e Vivaldi, o processo de atualização pode levar alguns dias. Fique atento e atualize assim que a correção estiver disponível.
Embora esta falha dependa de uma CPU ARM, caso você utilize Opera ou Vivaldi, a possibilidade de desabilitar a compilação V8 não é tão clara quanto no Chrome ou Edge. Se for uma opção, vale a pena pesquisar como fazê-lo nesses navegadores também.
Lembre-se que, mesmo que as atualizações sejam automáticas, o processo de roll-out pode levar dias ou semanas. É sempre mais seguro forçar a atualização manualmente agora.
