Google ha parcheado una vulnerabilidad de Chrome de alta gravedad después de descubrir que los atacantes ya la estaban utilizando.
El error afecta a V8, que Chrome utiliza para ejecutar JavaScript y WebAssembly. Google no ha identificado a los atacantes, a sus víctimas ni lo que el exploit puede hacer.
“Google es consciente de que existe un exploit para CVE-2026-85046 en la naturaleza”, dijo la compañía en un aviso de seguridad publicado el jueves. “También nos gustaría agradecer a todos los investigadores de seguridad que trabajaron con nosotros durante el ciclo de desarrollo para evitar que los errores de seguridad lleguen al canal estable.”
El parche está incluido en Chrome 152.0.7977.82 y 152.0.7977.83 para Windows y Mac, y en la versión 152.0.7977.82 para Linux. Google dijo que la actualización “se implementará en los próximos días/semanas”.
CVE-2026-85046 es un error de confusión de tipo. Estas fallas ocurren cuando el software trata los datos como un tipo incorrecto, causando errores de memoria u otro comportamiento inesperado. Google no ha dicho si este error puede usarse para ejecutar código de forma remota.
El investigador de seguridad Salvatore Gulizia, también conocido como Serotav, informó la falla el 4 de agosto. Google le otorgó una recompensa por error de $1,000.
Google enumeró nueve errores de alta gravedad y dos de gravedad media entre las 12 correcciones de seguridad de la actualización, pero está reteniendo algunos detalles hasta que la mayoría de los usuarios —y los proyectos de terceros afectados— hayan instalado los parches.
Google no ha dicho cuándo publicará más información sobre el exploit.
Aunque Google no ha vinculado CVE-2026-85046 con ataques a usuarios de cripto, las carteras de navegador, las cuentas de intercambio y las extensiones de trading han sido objetivo a través de otros métodos.
En noviembre de 2025, investigadores descubrieron que una extensión maliciosa de Chrome añadía transferencias ocultas de SOL a los intercambios de los usuarios.
Un mes después, un empresario de Singapur dijo que un malware disfrazado de juego drenó más de $14,000 de sus carteras conectadas al navegador. Creía que el ataque implicaba tokens de autenticación robados y una vulnerabilidad de día cero anterior de Chrome; sin embargo, no se ha informado de ningún vínculo con CVE-2026-85046. Más recientemente, en agosto, los investigadores también descubrieron docenas de extensiones falsas de billetera de Firefox que robaron credenciales de billetera.
