Radar Tech: RCE ativo no Chromium/V8 (CVE-2026-85046) — por que a contenção por egress virou lição de arquitetura

O Radar Tech de hoje abre com uma vulnerabilidade que virou notícia não só pelo risco, mas pela lição de arquitetura que carrega: CVE-2026-85046 — uma confusão de tipo (type confusion, classe CWE-843) no motor V8 do Google Chrome, classificada pelo próprio Google como severidade High (CVSS 3.1 = 8.8) e já listada no catálogo KEV da CISA porque está sendo explorada ativamente em campo.

Em tradução curta: uma página HTML maliciosa consegue executar código arbitrário dentro do sandbox do Chrome em qualquer versão anterior à 152.0.7977.82. É aquele caso raro de RCE que não depende de enganar o usuário com um clique burro — basta visitar a página.

O ponto que todo mundo esquece

Repare no detalhe do aviso oficial: o código roda dentro do sandbox. Para a maioria das equipes, isso soa como "ok, o sandbox segura". Mas quem já passou por um incidente real sabe que o pressuposto correto é o oposto:

O sandbox pode cair (ou já caiu). A pergunta não é "vai escapar?" — é "se o processo comprometido tentar sair para a rede, o que ele alcança?"

E é exatamente aí que mora o controle de egress (movimento de saída de rede). Sem ele, um código arbitrário que nem precisa escalar para o kernel consegue:

• fazer SSRF e tocar o cloud metadata service para roubar credenciais da instância;
• alcançar segmentos internos / outras aplicações e se mover lateralmente;
• exfiltrar dados e montar um túnel de comando e controle (C2).

Por que isso é "de arquitetura", não só "de patchear"

Claro que o primeiro passo é atualizar o Chrome o quanto antes (e para o governo federal dos EUA, há prazo regulatório via BOD 26-04 para CVEs no KEV). Mas parar no patch é apostar na cadência de correção — e o histórico mostra que a janela "CVE pública → exploit em campo" só encolhe.

A resposta durável é defesa em profundidade: assumir a pior hipótese (sandbox comprometido / endpoint ainda não atualizado) e desenhar a contenção com deny-by-default de egress:

• Allowlist mínima por dono — nenhum destino é acessível sem estar nomeado e com um time responsável; nada de 0.0.0.0/0.

Egress não é só de navegador: a mesma lógica vale para agentes de IA

A lição não fica restrita ao champanhe do Chromium. Na mesma janela de notícias, surgiram relatos de rompimentos de agentes autônomos (inclusive casos em que agentes de IA alcançaram rede externa, sites e bancos de dados de terceiros por engano). O paralelo com o CVE é quase didático:

• navegador: você não controla o site que o usuário visita → precisa conter o renderizador;
• agente de IA: você não controla 100% as chamadas que o agente decide fazer para cumprir a tarefa → precisa conter o sandbox concedendo rede por tarefa (tool + destino + owner), não "rede livre".

Nos dois casos o mecanismo é o mesmo padrão que nossos pacotes de prompt desta sexta desenham em detalhe:

O que levar para o seu projeto

• Não dependa só de patch. Reduza o blast radius: a contenção precisa funcionar mesmo quando o 0-day seguinte (que ninguém avisou) aparecer.
• Deny-by-default de egress, com saída única passando por proxy auditável e allowlist mínima por dono.
• Segredo fora do runtime comprometível: use um capability broker / token de curta duração, nunca credencial crua em variável de ambiente no sandbox.
• Teste de negação na POC: configure um destino fora da allowlist e confirme, de propósito, que ele é bloqueado. Ver a contenção falhar no teste — e só no teste — é o que comprova que ela existe.
• Aplique a mesma política para navegador gerenciado e para agente de IA. Não trate IA como um "mundo novo" sem rede restrita.

Se você quer colocar isso em prática com um processo repetível (ADR + prova de conceito + política de egress executável), vale conferir o prompt-pacote ligado a este Radar: são seis arquivos que transformam esse raciocínio num motor que roda com o seu cenário e entrega uma decisão auditável com critérios objetivos de aceite.

Rodapé do Radar: os números desta edição foram conferidos contra o NVD (CVE-2026-85046, publicada em 2026-09-03) e contra o catálogo de vulnerabilidades exploradas ativamente da CISA (KEV). Confirme sempre na fonte primária antes de tomar decisão de compliance.