Google закрыл шестой активно эксплуатируемый zero-day в Chrome за 2026 год, и дыра сидит там же, где и большинство серьёзных: в движке V8.

CVE-2026-85046 — ошибка типизации (type confusion) в движке V8 JavaScript и WebAssembly, закрытая в составе Chrome 152, который в целом исправил 12 уязвимостей. Google подтверждает, что эксплойт для этой дыры уже существует в реальных атаках. Ошибки типизации в V8 — это баги повреждения памяти, которые специально сформированная HTML-страница может использовать для чтения и записи за пределами выделенной области, а это стандартный путь от «баг в рендерере» до выполнения произвольного кода в браузере. Патч вышел в Chrome 152.0.7977.82/.83 для Windows и macOS и 152.0.7977.82 для Linux, вместе с девятью другими исправлениями высокой серьёзности — use-after-free, race condition, чтение и запись за границами буфера. Исследователь Salvatore Gulizia, нашедший баг, получил вознаграждение 1000 долларов.

Шесть закрытых zero-day за год для Chrome на сегодня уже не аномалия, а почти базовая линия. Что делает каждый отдельный случай достойным внимания — это то, что баг в V8, достижимый просто через открытие страницы, остаётся одним из немногих классов уязвимостей, которому ничего не нужно от жертвы кроме загрузки страницы, поэтому именно такие баги и всплывают как механизм доставки в таргетированных кампаниях, а не в массовом вредоносном ПО.

Обновите Chrome сейчас, если автообновление ещё не сработало, и отдельно проверьте любой Chromium-based браузер в своей инфраструктуре — обычно они отстают от официального патча на несколько дней. Компрометация через браузер — это ровно тот путь первичного доступа, который учитывают наши тесты на проникновение в рамках пентеста веб-приложений при построении модели атаки.