Googleは、人気ブラウザChromeに影響する12件の脆弱性を修正しました。その中には、実際の攻撃で悪用が確認されているCVE-2026-85046も含まれています。
「Googleは、CVE-2026-85046を悪用するエクスプロイトが実際に存在することを把握しています」と、同社は木曜日に公開したセキュリティ勧告で述べています。
修正パッチは、WindowsおよびmacOS向けのChrome 152.0.7977.82/.83と、Linux向けのChrome 152.0.7977.82にすでに組み込まれており、今後数日から数週間かけてユーザーに順次配信される予定です。
CVE-2026-85046について
CVE-2026-85046(CVSSスコア:8.8)は、ChromeのJavaScriptおよびWebAssemblyエンジンであるV8に存在する型の混同(type confusion)の脆弱性です。この脆弱性を悪用すると、遠隔の攻撃者が「細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる」とされています。
この脆弱性は、研究者のSalvatore Gulizia氏(別名Serotav)によって2026年8月4日に報告され、同氏はこの報告により1,000ドルのバグ報奨金を獲得しました。
Gulizia氏は自身のレポートの中で、根本原因について「PACKED_ELEMENTSを含む配列がPACKED_SMI_ELEMENTSというマップを受け取ってしまうV8のコンパイラのバグであり、これによりJavaScriptヒープに対する任意の読み書きが可能になる」と説明しています。
例によって、Googleは修正されたこのゼロデイ脆弱性についても、実際の悪用の可能性についても、それ以上詳しい情報を公開していません。
CVE-2026-85046は、Googleが2026年中に修正したChromeのゼロデイ脆弱性としては6件目にあたります。これまでに修正された脆弱性には、CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、そしてCVE-2026-11645があります。
翻訳元: https://www.helpnetsecurity.com/2026/09/04/google-chrome-zero-day-cve-2026-85046/
