Google закрыла активно эксплуатируемый 0-day в V8: Chrome 152 и CVE-2026-85046

Коротко: 3 сентября 2026 года Google закрыла CVE-2026-85046 — баг type confusion в V8-движке Chrome, активно используемый хакерами. Обновление Chrome 152.0.7977.82 распространяется автоматически, но требует перезапуска браузера. CISA установила срок для федеральных агентств США — 16 сентября 2026. Пользователям Edge, Brave, Opera и других браузеров на Chromium — ждать обновления от своего вендора.

Что произошло

3 сентября 2026 года Google перевела в стабильный канал Chrome 152 версии 152.0.7977.82/.83 для Windows и macOS и версии 152.0.7977.82 для Linux. Центральный патч этого выпуска — CVE-2026-85046, уязвимость класса type confusion в JavaScript-движке V8. По данным Google, эксплойт для этой уязвимости уже используется злоумышленниками в реальных атаках.

Уязвимость обнаружил и сообщил исследователь Salvatore Gulizia (псевдоним Serotav) 4 августа 2026 года — его вознаграждение составило 1 000 долларов по программе Google Bug Bounty. CVE-2026-85046 получила оценку CVSS 8.8 (High).

Это шестой Chrome 0-day, эксплуатировавшийся в 2026 году: до него в стабильных версиях были закрыты CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 и CVE-2026-11645. Для сравнения: предыдущий крупный патч Chrome 151 закрывал 382 уязвимости сразу, однако без подтверждённой активной эксплуатации.

Как работает type confusion в V8

V8 — это компилятор и исполняющая среда JavaScript и WebAssembly, встроенная во все Chromium-браузеры. Когда V8 оптимизирует горячие участки кода, он делает предположения о типах объектов: например, что конкретный массив хранит только целые числа (тип PACKED_SMI_ELEMENTS). Уязвимость CVE-2026-85046 позволяет создать массив с реальным типом PACKED_ELEMENTS (то есть содержащий произвольные объекты), которому V8 при этом присвоит карту (map) PACKED_SMI_ELEMENTS.

Такое несоответствие нарушает внутренние инварианты движка. Атакующий, используя JavaScript-код на вредоносной странице, может через эту «трещину» получить произвольный доступ на чтение и запись в JavaScript-кучу (heap), что в итоге открывает возможность для выполнения произвольного кода внутри sandbox Chrome.

CISA внесла CVE-2026-85046 в каталог активно эксплуатируемых уязвимостей

4 сентября 2026 года Агентство США по кибербезопасности (CISA) добавило CVE-2026-85046 в каталог Known Exploited Vulnerabilities (KEV). По директиве CISA, все федеральные агентства США обязаны обновить Chrome до исправленной версии не позднее 16 сентября 2026 года.

Занесение в KEV фактически означает официальное подтверждение: атаки с использованием уязвимости реально происходят, а не носят теоретический характер. Google намеренно не раскрывает технические детали эксплойта, пока большинство пользователей не получит обновление.

Кого затрагивает уязвимость

Уязвимость присутствует во всех Chromium-браузерах, использующих версию V8, предшествующую патчу. Под угрозой:

Производные браузеры публикуют собственные обновления с задержкой в несколько дней после выхода Chrome-патча. До выхода исправлений от своего вендора они уязвимы так же, как и необновлённый Chrome.

Почему это важно тем, кто работает с файлами в браузере

Браузер — один из главных инструментов для работы с файлами: в нём открывают PDF-документы во встроенном просмотрщике, просматривают изображения, загружают и скачивают вложения. Именно поэтому уязвимость в V8 напрямую касается пользователей файловых сервисов и конвертеров: вредоносная страница, замаскированная под онлайн-конвертер или хостинг файлов, может эксплуатировать баг без каких-либо дополнительных действий с вашей стороны.

Дополнительная мера предосторожности — проверка подозрительных файлов перед открытием. Наш инструмент проверки файлов на вирусы и карта опасных расширений помогут отличить безопасные форматы от потенциально вредоносных.

Что делать прямо сейчас

1. Откройте меню Chrome → Справка → О браузере Google Chrome. Chrome сам проверит наличие обновления и скачает его.
2. После загрузки нажмите «Перезапустить». Без перезапуска новая версия не применяется — именно на этом шаге чаще всего «застревают» пользователи.
3. Убедитесь, что установлена версия 152.0.7977.82 или выше.
4. Пользователям Edge, Brave, Opera, Vivaldi — обновите свой браузер отдельно, как только вендор выпустит сборку на Chromium 152. Следите за уведомлениями об обновлениях.
5. До получения исправления в браузере на Chromium рассмотрите временный переход на Firefox или Safari для критически важных задач.

Источники

• BleepingComputer — Google warns of new Chrome zero-day flaw exploited in attacks (3 сентября 2026)
• Help Net Security — Google patches actively exploited Chrome zero-day CVE-2026-85046 (4 сентября 2026)
• The Hacker News — Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day
• CISA Known Exploited Vulnerabilities Catalog — CVE-2026-85046