Chrome 152 CVE-2026-85046 : sixième zero-day 2026 expliqué
Google a fermé son sixième zero-day Chrome de 2026 sur le canal Stable. Voici le plancher de version, la phrase in the wild, et pourquoi les forks Chromium suivent plus tard.
Le 3 septembre 2026, Google a poussé Chrome Stable bureau à 152.0.7977.82/.83, fermant une confusion de types V8 déjà exploitée dans la nature, selon l’éditeur.
L’événement recherchable est CVE-2026-85046. Chrome Releases parle de confusion de types dans V8, signalée par Salvatore Gulizia (Serotav) le 2026-08-04, prime de 1000 $.
Ce que dit l’avis
Les builds Stable sont 152.0.7977.82/.83 sous Windows et macOS et 152.0.7977.82 sous Linux. Le déploiement prend des jours à des semaines. Le même paragraphe confirme un exploit dans la nature.
Comment lire la mise à jour
-
1
La lire comme un lot de sécurité Stable, pas une version à fonctions
Le titre du 3 septembre est une mise à jour Stable bureau. SecurityWeek : 12 correctifs, dont neuf hauts et deux moyens. L’élément phare est cette confusion de types V8 déjà exploitée.
-
2
Traiter le numéro de version et le redémarrage comme une seule étape
Un correctif téléchargé ne sert à rien tant que Chrome n’a pas redémarré. Aide → À propos de Google Chrome, ou
chrome://settings/help. Confirmer 152.0.7977.82 ou plus, puis fermer les processus restants. -
3
Vérifier Chrome et les autres peaux Chromium séparément
Le correctif V8 entre dans Chromium, mais Edge, Brave, Opera et Vivaldi livrent selon leur calendrier. Les builds figés, kiosques et navigateurs jamais relancés restent un inventaire à part.
Sixième zero-day est un décompte, pas une note
SecurityWeek liste cinq zero-days Chrome déjà corrigés en 2026. Cela montre que V8 reste une cible fréquente, pas que ce bug est plus grave que le précédent.
Du code dans le bac à sable n’est pas une prise de contrôle machine
L’impact Chromium s’arrête dans le bac à sable. En sortir exige un second bug. L’avis ne dit pas si l’exploit sauvage a déjà enchaîné jusque-là.
Le détail technique est retenu exprès
La note Stable donne le CVE, le composant, le chercheur et la prime. Les notes de compilateur parues ensuite ne sont pas un mode d’emploi ; cet article ne rejoue pas les étapes d’attaque.
| Affirmation | Source vérifiable | Lecture |
|---|---|---|
| CVE-2026-85046, confusion de types V8, High ; exploit in the wild | Chrome Releases, 2026-09-03 ; SecurityWeek, 2026-09-04 | Confirmation éditeur |
| Win/mac 152.0.7977.82/.83 ; Linux 152.0.7977.82 | Même note Stable ; bulletin HKCERT du 4 sept. | Build minimal sûr |
| Sixième zero-day Chrome 2026 ; cinq CVE antérieurs | Décompte SecurityWeek des avis Google | Dépouillement presse, pas un CVSS |
Corriger un moteur de navigateur n’est pas le même usage que parler devant un tableau dans un onglet. Pour voix et tableau blanc, partez de l’accueil wbroom sans compte. Étapes : créer et rejoindre une salle. Notes navigateur proches : blocage pub Firefox iOS et GrapheneOS sur Pixel 11. Salles sans compte : note confidentialité.
Chrome Releases, 3 septembre 2026 : Google is aware that an exploit for CVE-2026-85046 exists in the wild.
# Chrome Stable 2026-09-03
CVE-2026-85046 High Type confusion in V8
Reporter: Salvatore Gulizia (Serotav) 2026-08-04 $1,000
Fixed: 152.0.7977.82/.83 Win/macOS · 152.0.7977.82 Linux
Google: exploit exists in the wild
Also: 11 more CVEs in the same Stable drop (HKCERT: 85042–85053)Limites de lecture
- Stable ne veut pas dire que chaque machine est corrigée
- Le déploiement prend des jours à des semaines. Les onglets jamais relancés gardent l’ancien moteur.
- Les forks n’ont pas la date de Chrome
- Edge et les autres intègrent les correctifs Chromium selon leur calendrier. Se fier à chaque page À propos.
- Douze CVE ne font pas une seule histoire
- HKCERT liste 85042 à 85053. Seul 85046 est marqué exploité dans la nature par Google.
Questions à recouper
Quelle version compte comme corrigée ?
Linux : 152.0.7977.82 ou plus. Windows et macOS : 152.0.7977.82 ou .83 ou plus. Sources : Chrome Releases du 3 septembre et bulletin HKCERT.
Un Chrome à jour suffit-il pour les téléphones et les autres Chromium ?
Non. Cette note vise le Stable bureau. Chrome Android, Chrome iOS, Edge et Brave reçoivent le même correctif V8 via leurs canaux.
Version à fonctions ou lot de sécurité ?
Selon la note Stable du 3 septembre, une mise à jour bureau avec 12 correctifs de sécurité. L’élément phare est une confusion de types V8 déjà exploitée, pas une keynote produit.