В браузере Chrome исправили шестую 0-day-уязвимость в этом году
Разработчики Google выпустили обновление для браузера Chrome, которое исправляет 12 уязвимостей, включая активно эксплуатируемую 0-day в движке V8 (CVE-2026-85046). Этот баг позволяет добиться выполнения произвольного кода через специально подготовленную HTML-страницу.
Уязвимость получила 8,8 балла по шкале CVSS и относится к типу type confusion. Проблема затрагивает V8 — движок JavaScript и WebAssembly, который используется в Chrome.
Проблему обнаружил независимый ИБ-исследователь Сальваторе Гулиция (Salvatore Gulizia), известный под ником Serotav. Он сообщил об уязвимости 4 августа 2026 года и в итоге получил от Google вознаграждение в размере 1000 долларов США.
По данным специалиста, ошибка возникает при работе компиляторов V8: массив с элементами типа PACKED_ELEMENTS может быть ошибочно распознан как PACKED_SMI_ELEMENTS, и в результате уязвимость удается превратить в произвольное чтение и запись в JavaScript-хипе.
Атакующий может эксплуатировать CVE-2026-85046 через специально подготовленную HTML-страницу, что в итоге приведет к выполнению произвольного кода в изолированном процессе рендерера Chrome.
Разработчики Google предупреждают, что эксплоит для CVE-2026-85046 уже используется в реальных атаках. Однако в компании объясняют, что доступ к технической информации о проблеме и ее эксплуатации останется ограниченным до тех пор, пока большинство пользователей не установит патчи.
Патчи вошли в состав Chrome 152.0.7977.82/.83 для Windows и macOS и 152.0.7977.82 для Linux. Пользователям других браузеров на базе Chromium, включая Microsoft Edge, Brave, Opera и Vivaldi, тоже рекомендуется установить исправления, как только они станут доступны.
Следует отметить, что помимо 0-day свежее обновление устраняет еще девять уязвимостей, среди которых ошибки use-after-free, чтения и записи за границами буфера, состояния гонки и другие проблемы в компонентах Crash Reporting, Network, Compositing, WebGL, CacheStorage, DevTools, Skia и V8.
CVE-2026-85046 стала уже шестой активно эксплуатируемой 0-day-уязвимостью, которую разработчики Chrome исправили с начала 2026 года.
Первым был баг CVE-2026-2441 — ошибка в CSSFontFeatureValuesMap, которую устранили в середине февраля. Затем в марте разработчики закрыли сразу две уязвимости (CVE-2026-3909 и CVE-2026-3910) в V8 JavaScript и WebAssembly, а также в Skia — опенсорсной библиотеке 2D-графики, которая отвечает за рендеринг веб-контента и элементов интерфейса в Chrome. Четвертая уязвимость (CVE-2026-5281), исправленная в апреле, была связана с use-after-free багом в Dawn — кроссплатформенной реализации стандарта WebGPU, которую использует Chromium. Пятая проблема (CVE-2026-11645) была устранена в июне и тоже затрагивала движок V8, приводя к out-of-bounds чтению-записи.
Для сравнения: за весь 2025 год в Google закрыли восемь уязвимостей нулевого дня, и многие из них обнаружила команда Google Threat Analysis Group (TAG), специализирующаяся на отслеживании шпионского ПО.
