Google закрыла уязвимость Chrome, которую уже эксплуатировали злоумышленники

Что произошло

Google выпустила обновление Chrome, закрывающее уязвимость CVE-2026-85046. Компания сообщила в уведомлении по безопасности, что эксплойт для этой ошибки уже существует в реальных условиях эксплуатации.

Ошибка затрагивает V8 — компонент Chrome для запуска JavaScript и WebAssembly. Google не назвала атакующих, возможных жертв и не раскрыла, что именно позволяет делать эксплойт.

Детали обновления

Патч включен в Chrome 152.0.7977.82 и 152.0.7977.83 для Windows и Mac, а также в версию 152.0.7977.82 для Linux. Google сообщила, что обновление будет распространяться в течение ближайших дней и недель.

CVE-2026-85046 относится к ошибкам путаницы типов. Такие уязвимости возникают, когда программа обрабатывает данные как неверный тип, что может приводить к ошибкам памяти или другому неожиданному поведению.

Google не уточнила, можно ли использовать эту уязвимость для удаленного выполнения кода. Часть подробностей компания пока скрывает, пока большинство пользователей и затронутые сторонние проекты не установят исправления.

Контекст для криптопользователей

Google не связывала CVE-2026-85046 с атаками на криптопользователей. При этом браузерные кошельки, аккаунты на биржах и торговые расширения ранее становились целью атак другими методами.

В ноябре 2025 года исследователи обнаружили вредоносное расширение Chrome, которое добавляло скрытые переводы SOL к пользовательским обменам. Месяцем позже предприниматель из Singapore заявил, что вредоносное ПО, замаскированное под игру, вывело более $14,000 из его кошельков, подключенных к браузеру.

Он предполагал, что атака была связана с украденными токенами аутентификации и более ранней zero-day уязвимостью Chrome, однако связи с CVE-2026-85046 не сообщалось. Позднее, в августе, исследователи также обнаружили десятки поддельных расширений Firefox для кошельков, которые похищали учетные данные.