Opera revela falha no MCP Hub do Opera Neon que permite controlar o navegador

A Opera publicou em 12 de novembro de 2026 um aviso de segurança sobre a CVE-2026-123139, uma falha de severidade média na extensão MCP Hub que acompanha o navegador Opera Neon. Os detalhes estão no aviso de segurança da Opera.

O que mudou

• A CVE-2026-123139 tem pontuação CVSS de 5,8, classificada como severidade média.
• A falha é classificada como CWE-940, verificação inadequada da origem de um canal de comunicação.
• Afeta a extensão Opera Neon MCP Hub versão 0.0.1 em execução no Opera Neon 1.0.0.
• Afeta tanto macOS quanto Windows.
• Uma extensão de navegador maliciosa pode enviar comandos não autorizados pelo MCP Hub para a extensão integrada Browser Operator, que não verifica se os comandos vêm de uma fonte confiável.
• A CVE foi reservada em 5 de novembro de 2026 e publicada em 12 de novembro de 2026; a CVE Numbering Authority é a Opera Norway AS.

O que isso significa para quem constrói com IA

Explorar a falha exige acesso local por meio de outra extensão de navegador instalada, não um ataque remoto, portanto é preciso que já exista uma extensão maliciosa no mesmo navegador. Trata-se da primeira vulnerabilidade específica de MCP divulgada na arquitetura de extensões e hub de ferramentas de um navegador de IA voltado ao consumidor em geral, algo relevante porque os navegadores de IA conectam cada vez mais o MCP a APIs de extensão com privilégios reais de controle do sistema e do navegador.

Fontes

• Improper verification of source of a communication channel - Opera security advisories (Opera, 12 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.