O Google corrigiu uma falha de alta gravidade no Chrome após descobrir que invasores já a estavam utilizando.
O bug afeta o V8, que o Chrome usa para executar JavaScript e WebAssembly. O Google não identificou os invasores, suas vítimas ou o que o exploit pode fazer.
“O Google está ciente de que um exploit para CVE-2026-85046 existe em circulação,” disse a empresa em um aviso de segurança publicado na quinta-feira. “Gostaríamos também de agradecer a todos os pesquisadores de segurança que trabalharam conosco durante o ciclo de desenvolvimento para evitar que bugs de segurança chegassem ao canal estável.”
A correção está incluída nas versões 152.0.7977.82 e 152.0.7977.83 do Chrome para Windows e Mac, e na versão 152.0.7977.82 para Linux. O Google disse que a atualização “será lançada nos próximos dias/semanas”.
CVE-2026-85046 é um bug de confusão de tipo. Tais falhas ocorrem quando o software trata os dados como o tipo errado, causando erros de memória ou outro comportamento inesperado. O Google não disse se este bug pode ser usado para executar código remotamente.
O pesquisador de segurança Salvatore Gulizia, também conhecido como Serotav, relatou a falha em 4 de agosto. O Google concedeu-lhe uma recompensa de $1.000 por bug.
O Google listou nove bugs de alta gravidade e dois de média gravidade entre as 12 correções de segurança da atualização, mas está retendo alguns detalhes até que a maioria dos usuários — e projetos de terceiros afetados — tenha instalado os patches.
O Google não informou quando publicará mais informações sobre o exploit.
Embora o Google não tenha ligado o CVE-2026-85046 a ataques a usuários de cripto, carteiras de navegador, contas de exchange e extensões de trading foram alvo através de outros métodos.
Em novembro de 2025, pesquisadores descobriram que uma extensão maliciosa do Chrome adicionou transferências ocultas de SOL aos swaps dos usuários.
Um mês depois, um empresário de Cingapura disse que um malware disfarçado de jogo drenou mais de $14.000 de suas carteiras conectadas ao navegador. Ele acreditava que o ataque envolveu tokens de autenticação roubados e um zero-day anterior do Chrome; no entanto, nenhuma ligação com o CVE-2026-85046 foi relatada. Mais recentemente, em agosto, pesquisadores também descobriram dezenas de extensões falsas de carteira do Firefox que roubaram credenciais de carteira.
