Google telah menambal kelemahan Chrome dengan tingkat keparahan tinggi setelah menemukan bahwa penyerang sudah menggunakannya.
Bug ini memengaruhi V8, yang digunakan Chrome untuk menjalankan JavaScript dan WebAssembly. Google belum mengidentifikasi penyerang, korban mereka, atau apa yang dapat dilakukan oleh eksploitasi tersebut.
"Google menyadari bahwa eksploitasi untuk CVE-2026-85046 ada di dunia nyata," kata perusahaan itu dalam pemberitahuan keamanan yang diterbitkan Kamis. "Kami juga ingin berterima kasih kepada semua peneliti keamanan yang bekerja sama dengan kami selama siklus pengembangan untuk mencegah bug keamanan mencapai saluran stabil."
Patch ini termasuk dalam Chrome 152.0.7977.82 dan 152.0.7977.83 untuk Windows dan Mac, serta versi 152.0.7977.82 untuk Linux. Google mengatakan pembaruan tersebut "akan diluncurkan dalam beberapa hari/minggu mendatang."
CVE-2026-85046 adalah bug type-confusion. Cacat semacam itu terjadi ketika perangkat lunak memperlakukan data sebagai tipe yang salah, menyebabkan kesalahan memori atau perilaku tidak terduga lainnya. Google belum menyatakan apakah bug ini dapat digunakan untuk menjalankan kode dari jarak jauh.
Peneliti keamanan Salvatore Gulizia, juga dikenal sebagai Serotav, melaporkan kelemahan ini pada 4 Agustus. Google memberinya hadiah bug bounty senilai $1.000.
Google mencantumkan sembilan bug tingkat keparahan tinggi dan dua bug tingkat keparahan sedang di antara 12 perbaikan keamanan dalam pembaruan, tetapi menahan beberapa detail hingga sebagian besar pengguna—dan proyek pihak ketiga yang terpengaruh—telah menginstal patch.
Google belum mengatakan kapan akan menerbitkan informasi lebih lanjut tentang eksploitasi tersebut.
Meskipun Google belum mengaitkan CVE-2026-85046 dengan serangan terhadap pengguna kripto, dompet peramban, akun bursa, dan ekstensi perdagangan telah menjadi target melalui metode lain.
Pada November 2025, para peneliti menemukan bahwa ekstensi Chrome berbahaya menambahkan transfer SOL tersembunyi ke swap pengguna.
Sebulan kemudian, seorang pengusaha Singapura mengatakan malware yang menyamar sebagai game menguras lebih dari $14.000 dari dompetnya yang terhubung ke peramban. Dia percaya serangan itu melibatkan token otentikasi yang dicuri dan zero-day Chrome sebelumnya; namun, belum ada laporan mengenai tautan ke CVE-2026-85046. Lebih baru lagi, pada bulan Agustus, para peneliti juga menemukan puluhan ekstensi dompet Firefox palsu yang mencuri kredensial dompet.
