wbroom

Что такое Chrome 152 CVE-2026-85046: шестой zero-day 2026

Google закрыл шестой zero-day Chrome 2026 в канале Stable. Ниже пол версии, формулировка in the wild и почему форки Chromium опаздывают.

3 сентября 2026 Google поднял десктопный Chrome Stable до 152.0.7977.82/.83 и закрыл путаницу типов в V8, которую, по словам компании, уже используют в дикой среде.

Искомое событие — CVE-2026-85046. Chrome Releases называет это путаницей типов в V8, сообщил Salvatore Gulizia (Serotav) 2026-08-04, награда 1000 $.

4 авг.: отчёт Gulizia 3 сент.: Stable 152.82 Проверить версию, перезапустить

Что пишет advisory

Сборки Stable — 152.0.7977.82/.83 на Windows и macOS и 152.0.7977.82 на Linux. Раскатка займёт дни или недели. Тот же абзац подтверждает эксплойт в дикой среде.

6 / 2026
Zero-day Chrome в 2026 (SecurityWeek)
12
CVE того же пакета Stable (HKCERT)
152.82
Пол Linux; у Win/mac ещё .83

Как читать обновление

  1. 1

    Читать как пакет безопасности Stable, не как релиз функций

    Заголовок 3 сентября — обновление десктопного Stable. SecurityWeek: 12 исправлений, из них девять высоких и два средних. Главное — уже эксплуатируемая путаница типов в V8.

  2. 2

    Номер версии и перезапуск — один шаг

    Скачанный патч ничего не даёт, пока Chrome не перезапущен. Справка → О Google Chrome или chrome://settings/help. Убедиться в 152.0.7977.82 или новее и закрыть старые процессы.

  3. 3

    Chrome и другие оболочки Chromium проверять отдельно

    Правка V8 попадает в Chromium, но Edge, Brave, Opera и Vivaldi выходят по своим календарям. Закреплённые сборки, киоски и браузеры без перезапуска остаются отдельной инвентаризацией.

01

Шестой zero-day — счёт, не оценка

SecurityWeek перечисляет пять более ранних zero-day Chrome за 2026. Это говорит, что V8 часто цель, а не что этот баг тяжелее предыдущего.

02

Код в песочнице — не захват всего устройства

Формулировка Chromium останавливается в песочнице. Выход из неё требует второй уязвимости. Advisory не говорит, успел ли дикий эксплойт выстроить такую цепочку.

03

Технические детали удерживают намеренно

Заметка Stable даёт CVE, компонент, репортёра и награду. Поздние заметки про компилятор — не пользовательская инструкция; шаги атаки здесь не повторяются.

Утверждение Проверяемый источник Как читать
CVE-2026-85046, путаница типов V8, High; эксплойт in the wild Chrome Releases, 2026-09-03; SecurityWeek, 2026-09-04 Подтверждение вендора
Win/mac 152.0.7977.82/.83; Linux 152.0.7977.82 Та же заметка Stable; бюллетень HKCERT 4 сент. Минимальная безопасная сборка
Шестой zero-day Chrome 2026; пять более ранних CVE Подсчёт SecurityWeek по advisories Google Счёт прессы, не CVSS

Чинить движок браузера и говорить у доски во вкладке — разные задачи. Для голоса и доски хватит главной wbroom без аккаунта. Шаги: создать и войти в комнату. Близкие заметки о браузерах: блокировка рекламы Firefox iOS и GrapheneOS о Pixel 11. Комнаты без аккаунта: заметка о приватности.

Chrome Releases, 3 сентября 2026: Google is aware that an exploit for CVE-2026-85046 exists in the wild.

# Chrome Stable 2026-09-03
CVE-2026-85046  High  Type confusion in V8
Reporter: Salvatore Gulizia (Serotav)  2026-08-04  $1,000
Fixed: 152.0.7977.82/.83 Win/macOS · 152.0.7977.82 Linux
Google: exploit exists in the wild
Also: 11 more CVEs in the same Stable drop (HKCERT: 85042–85053)

Границы чтения

Stable не значит, что каждая машина уже пропатчена
Раскатка занимает дни или недели. Вкладки без перезапуска крутят старый движок.
Форки — не дата поставки Chrome
Edge и другие забирают правки Chromium по своим календарям. Смотреть страницу «О программе» каждого продукта.
Двенадцать CVE — не одна история
HKCERT перечисляет 85042–85053. Только 85046 Google пометил как эксплуатируемый в дикой среде.

Вопросы для сверки

Какая сборка считается исправленной?

Linux — 152.0.7977.82 или новее; Windows и macOS — 152.0.7977.82 или .83 или новее. Источники: Chrome Releases от 3 сентября и бюллетень HKCERT.

Если Chrome обновлён, телефоны и другие Chromium тоже закрыты?

Нет. Заметка про десктопный Stable. Android Chrome, Chrome на iOS, Edge и Brave получают ту же правку V8 своими каналами.

Это релиз функций или пакет безопасности?

По заметке Stable от 3 сентября это десктопное обновление с 12 исправлениями безопасности. Заголовок — уже эксплуатируемая путаница типов в V8, не презентация функций.

Начать встречу