Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-85046 |
| Źródło alertu | CISA KEV - podatność aktywnie wykorzystywana |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-04 |
| Producent | |
| Produkt | Chrome (silnik V8) |
| Wersja z poprawką | 152.0.7977.82 |
| CVSS Score | 8.8 (Wysoki) |
| EPSS Score | 1,16% (percentyl 65) |
| CISA KEV | Tak |
| Termin CISA | 2026-09-18 |
| Ransomware | Nie potwierdzono |
Opis podatności
W silniku JavaScript V8, na którym opiera się Google Chrome, wykryto pomylenie typów (type confusion) w wersjach starszych niż 152.0.7977.82. Błąd tej klasy polega na tym, że silnik traktuje obszar pamięci jako obiekt innego typu, niż faktycznie się tam znajduje — co pozwala czytać i zapisywać pamięć poza przewidzianymi granicami, a w konsekwencji doprowadzić do wykonania dowolnego kodu.
Wektorem jest spreparowana strona HTML. Nie jest potrzebne pobieranie pliku ani uruchamianie instalatora — wystarczy, że przeglądarka wyrenderuje treść przygotowaną przez atakującego.
Ta podatność jest już wykorzystywana w atakach. CISA umieściła ją w katalogu Known Exploited Vulnerabilities z terminem usunięcia 18 września 2026. To zasadnicza różnica wobec większości alertów o przeglądarkach: nie mówimy o ryzyku teoretycznym, tylko o technice będącej w użyciu.
Czego ta luka sama w sobie nie robi. Kod wykonuje się wewnątrz sandboxa przeglądarki — warstwy, która oddziela treść strony od systemu operacyjnego. Żeby przejąć stację roboczą, atakujący potrzebuje drugiej luki pozwalającej uciec z sandboxa. Warto to powiedzieć wprost, bo alerty o przeglądarkach bywają czytane jako „natychmiastowe przejęcie komputera”, a tu tak nie jest. Nie znaczy to jednak, że sprawa jest błaha: łańcuchy złożone z dwóch luk to standardowa technika ataków na przeglądarki, a ta pierwsza połowa łańcucha jest już w rękach atakujących.
Uwaga na kolejność wydań. Jeśli wdrażałeś aktualizację po naszym wcześniejszym alercie o sześciu lukach w Chrome 152, była to wersja 152.0.7977.75. Ona nie zawiera poprawki na CVE-2026-85046 — potrzebne jest nowsze wydanie 152.0.7977.82.
Wymagane działania
- Zaktualizować Chrome do wersji 152.0.7977.82 lub nowszej. Wersję sprawdzisz pod
adresem
chrome://settings/help, który jednocześnie wymusza sprawdzenie aktualizacji. - Wymusić restart przeglądarki. Chrome pobiera aktualizację w tle, ale nowy kod działa dopiero po restarcie procesu. Stacja z pobraną, lecz niezrestartowaną przeglądarką nadal jest podatna — a użytkownicy potrafią nie zamykać Chrome tygodniami.
- Sprawdzić polityki Chrome Enterprise. Zasady
TargetVersionPrefixiUpdateDefaultbywają ustawione tak, by odraczać wdrożenia o dni lub tygodnie. Przy podatności z katalogu KEV to odroczenie trzeba świadomie skrócić. - Zaktualizować pozostałe przeglądarki oparte na Chromium — Microsoft Edge, Brave, Opera, Vivaldi. Luka leży w V8, czyli w komponencie wspólnym, więc dotyczy również ich; producenci wydają własne wersje z tą samą poprawką, zwykle w ciągu kilku dni.
- Zinwentaryzować aplikacje desktopowe oparte na Electronie (komunikatory, klienci chmurowi, narzędzia wewnętrzne). Osadzają one własną kopię Chromium, która nie aktualizuje się razem z przeglądarką i pozostaje podatna do czasu wydania nowej wersji samej aplikacji. To najczęściej pomijany element floty.
Kogo dotyczy?
Podatność dotyczy Google Chrome w wersjach starszych niż 152.0.7977.82 — kanał stabilny, niezależnie od platformy: Windows, macOS i Linux.
W praktyce dotyczy każdej organizacji wydającej pracownikom stacje robocze z Chrome. Pośrednio obejmuje też użytkowników innych przeglądarek opartych na silniku Chromium oraz aplikacji zbudowanych na Electronie.
Szczególną uwagę powinny zwrócić organizacje, w których przeglądarka jest głównym interfejsem do systemów firmowych — poczty, ERP, paneli chmurowych i konsol administracyjnych. Tam kompromitacja przeglądarki oznacza dostęp do tokenów sesji użytkownika, czyli do wszystkiego, do czego on sam jest zalogowany.
Źródła
- NVD - CVE-2026-85046
- CISA Known Exploited Vulnerabilities Catalog
- Chrome Releases - Stable Channel Update for Desktop
- Chromium issue 542403045
- FIRST EPSS
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
