CVE-2026-85046: type confusion в V8 позволяет выполнить код в песочнице Google Chrome

Компания Google выпустила обновление браузера Chrome, закрывающее опасную уязвимость в движке V8, отвечающем за обработку JavaScript. Проблема получила идентификатор CVE-2026-85046 и классифицирована как type confusion — путаница типов, которая возникает, когда программа обрабатывает объект как относящийся к одному типу, тогда как фактически он принадлежит другому.

Подробности

Уязвимости подвержены все версии Google Chrome ниже 152.0.7977.82. По данным CVE Project, атака возможна удалённо: злоумышленнику достаточно, чтобы жертва открыла специально подготовленную HTML-страницу. В результате эксплуатации type confusion в V8 атакующий может добиться выполнения произвольного кода внутри песочницы браузера. Песочница (sandbox) — это изолированная среда, в которой Chromium запускает обработку веб-контента. Она ограничивает доступ процессов браузера к операционной системе. Выполнение кода внутри песочницы само по себе не даёт полного контроля над устройством, однако создаёт условия для дальнейших атак: подбора других уязвимостей для выхода из изоляции, кражи данных, установки вредоносного ПО. Степень опасности по шкале Chromium определена как High — высокий уровень. Числовое значение CVSS в записи CVE не указано. Уязвимость затрагивает движок V8, поэтому теоретически может проявляться не только в Chrome, но и в других продуктах на базе Chromium — например, в браузерах от сторонних вендоров, использующих тот же движок. Таким продуктам обычно требуется отдельное обновление от их разработчиков.

Что делать

Основная рекомендация — как можно скорее обновить Google Chrome до версии 152.0.7977.82 или более новой. Обновление распространяется по стандартному каналу: оно устанавливается автоматически при перезапуске браузера. Проверить актуальную версию можно в разделе «О браузере Chrome» (chrome://settings/help) — там же доступна команда ручной проверки обновлений. Если обновление пока невозможно, стоит рассмотреть временные меры: — ограничить открытие непроверенных ссылок и переходы по подозрительным HTML-страницам; — применять решения класса web-фильтрации и защиты конечных точек, блокирующие эксплуатацию известных уязвимостей браузеров; — для корпоративных пользователей — ускорить централизованное развёртывание патча через средства управления конфигурациями. Пользователям браузеров на базе Chromium от других вендоров следует дождаться соответствующего обновления от производителя: патч Google не всегда автоматически попадает в сторонние сборки.

Итог

CVE-2026-85046 — серьёзная уязвимость в популярнейшем браузере, позволяющая удалённо выполнить код в его песочнице. Несмотря на то что полная компрометация системы требует дополнительных шагов со стороны атакующего, высокий уровень опасности и массовость продукта делают обновление приоритетным. Установите Chrome версии 152.0.7977.82 или новее и перезапустите браузер.

Источник: CVE Project (cvelistV5)