Inayos ng Google ang isang high-severity na depekto sa Chrome matapos matuklasan na ginagamit na ito ng mga umaatake.
Naapektuhan ng bug ang V8, na ginagamit ng Chrome para patakbuhin ang JavaScript at WebAssembly. Hindi pa natutukoy ng Google ang mga umaatake, ang kanilang mga biktima, o kung ano ang kayang gawin ng exploit.
“Alam ng Google na mayroong exploit para sa CVE-2026-85046 na umiiral sa publiko,” sabi ng kumpanya sa isang security notice na inilathala noong Huwebes. “Nais din naming pasalamatan ang lahat ng security researcher na nakipagtulungan sa amin sa panahon ng development cycle upang maiwasan ang mga security bug na makarating sa stable channel.”
Kasama ang patch sa Chrome 152.0.7977.82 at 152.0.7977.83 para sa Windows at Mac, at bersyon 152.0.7977.82 para sa Linux. Sinabi ng Google na ang update “ay ilalabas sa darating na mga araw/linggo.”
Ang CVE-2026-85046 ay isang type-confusion bug. Ang ganitong mga depekto ay nangyayari kapag ang software ay nagkakamali sa pagtrato sa data bilang maling uri, na nagiging sanhi ng mga memory error o iba pang hindi inaasahang pag-uugali. Hindi pa sinasabi ng Google kung magagamit ang bug na ito upang magpatakbo ng code nang malayuan.
Iniulat ng security researcher na si Salvatore Gulizia, kilala rin bilang Serotav, ang depekto noong Agosto 4. Binigyan siya ng Google ng $1,000 bug bounty.
Inilista ng Google ang siyam na high-severity at dalawang medium-severity na bug sa 12 pag-aayos ng seguridad ng update ngunit pinipigilan ang ilang detalye hangga’t hindi pa nai-install ng karamihan sa mga user—at mga apektadong third-party na proyekto—ang mga patch.
Hindi pa sinasabi ng Google kung kailan ito maglalathala ng higit pang impormasyon tungkol sa exploit.
Bagama’t hindi pa naiuugnay ng Google ang CVE-2026-85046 sa mga pag-atake sa mga gumagamit ng crypto, ang mga browser wallet, exchange account, at trading extension ay tinarget na sa iba pang pamamaraan.
Noong Nobyembre 2025, natuklasan ng mga mananaliksik na ang isang malisyosong Chrome extension ay nagdagdag ng mga nakatagong paglilipat ng SOL sa mga swap ng user.
Makalipas ang isang buwan, sinabi ng isang negosyante sa Singapore na ang malware na nagkukunwaring isang laro ay umubos ng higit sa $14,000 mula sa kanyang mga browser-connected wallet. Naniniwala siya na ang pag-atake ay kinasasangkutan ng mga nakaw na authentication token at isang naunang Chrome zero-day; gayunpaman, walang ugnayan sa CVE-2026-85046 ang naiulat. Mas kamakailan, noong Agosto, natuklasan din ng mga mananaliksik ang dose-dosenang mga pekeng Firefox wallet extension na nagnakaw ng mga kredensyal ng wallet.
