Google łata aktywnie wykorzystywany zero-day Chrome

Pilna łatka dla Chrome

Google opublikowało awaryjną aktualizację bezpieczeństwa dla Chrome, która usuwa 12 podatności, w tym jedną szczególnie groźną lukę typu zero-day. Chodzi o CVE-2026-85046, błąd w silniku V8 odpowiadającym za JavaScript i WebAssembly.

To ważna poprawka, bo Google potwierdziło, że dla tej podatności istnieje aktywny exploit wykorzystywany w praktyce.

Co wiadomo o luce

CVE-2026-85046 to przypadek type confusion w V8. W uproszczeniu oznacza to sytuację, w której przeglądarka błędnie traktuje obiekt w pamięci tak, jakby należał do innego typu. W takim scenariuszu atakujący może doprowadzić do niebezpiecznych operacji na pamięci, a w konsekwencji do wykonania kodu po stronie ofiary.

Według opisu błędu, atak może zostać zainicjowany przez spreparowaną stronę HTML. Oznacza to typowy wektor dla ataków na przeglądarki: użytkownik musi wejść na złośliwą lub przejętą stronę, ewentualnie kliknąć w przygotowany link.

W praktyce podatność pozwalałaby zdalnemu atakującemu na uruchomienie arbitralnego kodu wewnątrz sandboxa Chrome.

Kto odkrył problem

Luka została zgłoszona Google 4 sierpnia 2026 roku przez badacza bezpieczeństwa znanego jako Serotav. Za odpowiedzialne zgłoszenie otrzymał 1000 dolarów nagrody w ramach programu bug bounty.

Jakie wersje Chrome są bezpieczne

Google podało następujące wersje zawierające poprawkę:

• Windows i macOS: 152.0.7977.82 lub 152.0.7977.83
• Linux: 152.0.7977.82

Aktualizacja jest wdrażana stopniowo, więc nie wszyscy użytkownicy zobaczą ją od razu. Żeby upewnić się, że poprawka została zastosowana, trzeba zaktualizować przeglądarkę i uruchomić ją ponownie.

Dlaczego to ważne

To już szósty zero-day Chrome w 2026 roku, który został ujawniony jako aktywnie wykorzystywany. Sam fakt, że Google znów musiało szybko reagować na błąd w V8, pokazuje, jak atrakcyjnym celem pozostaje silnik przeglądarki i jak szybko mogą być wykorzystywane tego typu błędy.

W tej samej paczce poprawek znalazły się też inne podatności, m.in. związane z:

• race condition w V8,
• use-after-free w Compositing i DevTools,
• błędem pamięci w WebGL,
• podatnością w Skia,
• błędem odczytu poza zakresem w CrashReporting.

Co powinni zrobić użytkownicy

Najprostszy i najważniejszy krok to natychmiastowa aktualizacja Chrome do najnowszej wersji oraz ponowne uruchomienie przeglądarki. W środowiskach firmowych warto dodatkowo:

• sprawdzić, które wersje są wdrożone na stacjach roboczych,
• przyspieszyć dystrybucję poprawek,
• potraktować ten incydent jako wysoki priorytet, zwłaszcza na urządzeniach o dużej ekspozycji na ruch webowy.

Z poprawki powinny skorzystać też inni użytkownicy przeglądarek opartych na Chromium, takich jak Microsoft Edge, Brave, Opera czy Vivaldi, gdy tylko ich twórcy wydadzą własne aktualizacje.