Google виправив серйозну вразливість у Chrome після виявлення, що зловмисники вже її використовували.
Баг впливає на V8, який Chrome використовує для запуску JavaScript та WebAssembly. Google не ідентифікував зловмисників, їхніх жертв або те, що може зробити експлойт.
«Google відомо, що експлойт для CVE-2026-85046 існує в мережі», — повідомила компанія в повідомленні про безпеку, опублікованому в четвер. «Ми також хотіли б подякувати всім дослідникам безпеки, які працювали з нами під час циклу розробки, щоб запобігти потраплянню помилок безпеки в стабільний канал».
Патч включено в Chrome 152.0.7977.82 та 152.0.7977.83 для Windows та Mac, а також у версію 152.0.7977.82 для Linux. Google заявив, що оновлення «буде розгортатися протягом найближчих днів/тижнів».
CVE-2026-85046 — це помилка плутанини типів (type-confusion bug). Такі недоліки виникають, коли програмне забезпечення обробляє дані як неправильний тип, що призводить до помилок пам'яті або іншої непередбачуваної поведінки. Google не повідомив, чи можна використовувати цей баг для віддаленого виконання коду.
Дослідник безпеки Сальваторе Гулізія, також відомий як Serotav, повідомив про вразливість 4 серпня. Google нагородив його 1000 доларів за знайдену помилку.
Google перерахував дев'ять критичних та дві середні за серйозністю помилки серед 12 виправлень безпеки в оновленні, але приховує деякі деталі, доки більшість користувачів — та постраждалих сторонніх проєктів — не встановлять патчі.
Google не повідомив, коли опублікує більше інформації про експлойт.
Хоча Google не пов'язував CVE-2026-85046 з атаками на криптокористувачів, браузерні гаманці, акаунти на біржах та торгові розширення були цілями за допомогою інших методів.
У листопаді 2025 року дослідники виявили, що шкідливе розширення Chrome додавало приховані перекази SOL до свопів користувачів.
Через місяць підприємець із Сінгапуру повідомив, що шкідливе програмне забезпечення, замасковане під гру, викрало понад 14 000 доларів з його гаманців, підключених до браузера. Він вважав, що атака була пов’язана з викраденими токенами автентифікації та ранішою нульовою вразливістю Chrome; однак зв’язку з CVE-2026-85046 не було зафіксовано. Зовсім нещодавно, у серпні, дослідники також виявили десятки підроблених розширень гаманців Firefox, які викрадали облікові дані гаманців.
