CVE-2026-5281

Use-after-free (CWE-416) no Dawn, a camada de implementação do WebGPU no Chromium, corrigido no Chrome 146.0.7680.178. A falha está no catálogo KEV da CISA com exploração confirmada in the wild e afeta potencialmente qualquer navegador baseado em Chromium que use Dawn, não só o Chrome. O ponto que a manchete de CVSS 8.8 esconde: o próprio advisory descreve o cenário de exploração como dependente de um atacante que já comprometeu o processo renderer — ou seja, essa falha por si só normalmente não é o ponto de entrada, e sim uma peça de uma cadeia de exploração (sandbox escape ou elevação a partir de um renderer já controlado).

Dawn é a implementação nativa em C++ do WebGPU dentro do Chromium — a camada que traduz as chamadas de API WebGPU feitas por JavaScript em chamadas às APIs gráficas nativas do sistema (D3D12, Vulkan, Metal). É código exposto diretamente a conteúdo web: qualquer página HTML com JavaScript pode instanciar dispositivos, buffers, texturas e pipelines WebGPU e acionar os caminhos de código do Dawn.

A classe da falha é use-after-free (CWE-416): um objeto gerenciado pelo Dawn (buffer, textura, comando, ou estrutura de estado associada ao pipeline gráfico) é liberado enquanto ainda existe uma referência ativa a ele em outra parte do código, e essa referência é usada posteriormente. Esse padrão é comum em componentes gráficos assíncronos, onde callbacks de conclusão de operação de GPU, destruição de dispositivos ou reentrância entre threads criam janelas em que a contagem de referência ou o ciclo de vida do objeto não é rastreado corretamente.

O Google não publicou o diff de correção nem detalhes do ponto exato no código-fonte (a política de disclosure do Chromium mantém o bug tracker — issues.chromium.org/issues/491518608 — restrito até que a maioria dos usuários tenha atualizado). O que se sabe vem da linha da própria entrada de release notes: 'Use after free in Dawn', reportado por um pesquisador identificado apenas por hash na lista de créditos (86ac1f1587b71893ed2ad792cd7dde32), em 10/03/2026.

O atacante controla o conteúdo da página HTML/JS que aciona as chamadas WebGPU — ou seja, controla a sequência de criação, uso e destruição de objetos Dawn necessária para forçar a condição de corrida ou de liberação prematura que leva ao UAF.

O vetor primário é uma página HTML maliciosa que o usuário visita — CVSS classifica isso como rede, sem privilégios, mas com interação do usuário (AV:N/AC:L/PR:N/UI:R). O código JavaScript da página aciona a API WebGPU em sequência específica para provocar a liberação prematura do objeto e o uso subsequente do ponteiro pendente, corrompendo heap dentro do processo que hospeda o Dawn.

O detalhe que a descrição oficial coloca explicitamente, e que muda a leitura do risco: o cenário descrito é de um 'atacante remoto que já havia comprometido o processo renderer'. Isso indica que a exploração completa (execução arbitrária de código) tipicamente exige que essa UAF seja encadeada com outra vulnerabilidade — por exemplo, um bug no motor JavaScript (V8) ou outro renderer bug que dê ao atacante controle inicial dentro do sandbox do renderer. A partir daí, o UAF em Dawn pode ser usado para escapar de limites de processo/sandbox ou obter execução de código com privilégios maiores, já que componentes gráficos frequentemente cruzam fronteiras de processo (renderer/GPU).

O Google confirma exploração ativa ('Google is aware that an exploit for CVE-2026-5281 exists in the wild') e a CISA adicionou a falha ao KEV em 01/04/2026 com prazo de correção em 15/04/2026 — sinal de que há exploração documentada fora de laboratório, mas nenhum detalhe público sobre o alvo, escala da campanha ou se está sendo usada isoladamente ou como parte de uma chain completa (algum bug de renderer + este UAF de Dawn + possivelmente um sandbox escape adicional).

Atualizar para Chrome 146.0.7680.178 (Windows e Mac) ou 146.0.7680.177 (Linux; Windows também recebeu build .177 em paralelo à .178). Como o Dawn é compartilhado por navegadores baseados em Chromium, qualquer produto derivado (Edge, Opera, Brave, etc., conforme observado pela própria CISA) deve ser verificado quanto à versão do motor Chromium subjacente e atualizado quando o fornecedor correspondente publicar o patch equivalente — o advisory do Google só cobre o Chrome diretamente.

Não há flag de configuração documentada que desabilite seletivamente o componente Dawn sem also desabilitar WebGPU por completo; a Google não publicou paliativo oficial além da atualização. Como controle compensatório temporário, ambientes que não conseguem atualizar imediatamente podem bloquear ou desabilitar WebGPU via política administrativa (quando o produto suportar essa política) — isso reduz a superfície de ataque ao custo de quebrar sites/aplicações que dependam de WebGPU, mas não é uma correção, apenas mitigação de exposição.

Não adianta apenas isolar a navegação em sandbox de sistema operacional ou confiar na sandbox padrão do Chrome como mitigação suficiente: o próprio cenário da vulnerabilidade pressupõe um renderer já comprometido, o que sugere que a exploração em cadeia visa justamente contornar limites de processo. A correção real é a atualização do binário.

Não há assinatura, IOC ou padrão de log público conhecido para detectar tentativas de exploração dessa falha especificamente — o Google não divulgou detalhes técnicos do bug (issue tracker restrito) e não há indicadores de rede ou de arquivo publicados nas fontes disponíveis. Na ausência de telemetria específica, o sinal prático é indireto: crashes do processo renderer/GPU associados a WebGPU (Dawn) em builds anteriores à correção, ou alertas de EDR/AV para exploração de memória em processos do Chrome, merecem investigação, mas não confirmam exploração desta CVE em particular.