A șasea vulnerabilitate zero-day a anului din Chrome este deja folosită

Google a scos o actualizare pentru Chrome pe 4 septembrie, cu singura propoziție dintr-o notă de lansare care înseamnă mereu același lucru: "Google is aware that an exploit for CVE-2026-85046 exists in the wild." Versiunile corectate sunt 152.0.7977.82/.83 pe Windows și macOS și 152.0.7977.82 pe Linux. Orice lucru mai vechi este un browser în care cineva știe deja să intre.

Defectul se află în V8, partea din Chrome care rulează JavaScript pe fiecare pagină pe care o deschizi. Este o eroare de confuzie de tipuri, evaluată la 8.8: compilatorul atribuie unui tablou tipul intern greșit, iar de acolo un atacator obține acces de citire și scriere la memoria Chrome și poate rula cod în interiorul zonei izolate a browserului. Practic, tot atacul este o pagină pregătită. Nimic de descărcat, niciun program de instalare fals, nicio parolă tastată nicăieri.

Două detalii ies în evidență. Salvatore Gulizia a raportat problema pe 4 august și a primit o recompensă de 1.000 de dolari, un preț surprinzător de mic pentru un defect care transformă orice pagină web în execuție de cod. Iar aceasta este a șasea vulnerabilitate zero-day din Chrome exploatată activ în 2026, după CVE-2026-2441, CVE-2026-3909 și 3910, CVE-2026-5281 și CVE-2026-11645. Șase în opt luni este de acum regula, nu un an cu ghinion.

Chrome descarcă singur corecția, dar nu o aplică până la repornirea browserului, iar multă lume nu îl repornește niciodată. Meniul cu trei puncte, Ajutor, Despre Google Chrome, apoi citește numărul și lasă-l să repornească. Edge, Brave, Opera și Vivaldi sunt construite pe același motor și vor avea nevoie de propriile actualizări în câteva zile. Verificarea actualizărilor de aplicații din Tendvane trece prin winget și listează ce programe instalate au rămas la versiuni vechi, browserele incluse, ceea ce e mai rapid decât să le deschizi pe fiecare.