CVE-2026-85046: בכרום תוקנה פרצת type confusion ב-V8 שמנוצלת בשטח

ב-3 בספטמבר 2026 הוציאה גוגל עדכון בערוץ היציב של כרום שסוגר פגיעוּת במנוע V8 — ולפי החברה, היא כבר מנוצלת בשטח. מדובר ב-CVE-2026-85046: בלבול טיפוסים (type confusion) ב-V8, אותו מנוע JavaScript ו-WebAssembly שכרום חולקת עם דפדפנים אחרים המבוססים על Chromium.

מה מאפשרת הפגיעות

מסד הנתונים הלאומי לפגיעויות של ארה"ב (NVD) מתאר פגיעוּת שאפשרה לתוקף מרוחק "להריץ קוד שרירותי בתוך ארגז החול באמצעות דף HTML שנבנה במיוחד". היא מסווגת כ-CWE-843 — גישה למשאב באמצעות טיפוס לא תואם. לפי הניקוד של CISA, ציון הבסיס ב-CVSS 3.1 הוא 8.8 (גבוה), עם וקטור AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H: התקיפה אפשרית מהרשת ואינה דורשת הרשאות, אך מותנית בכך שהמשתמש יפתח דף זדוני.

‏-NVD מפרט את התצורות הפגיעות: כרום לפני 152.0.7977.82 ו-V8 לפני 15.3.48.

הניצול והתיקון

חוקר האבטחה סלבטורה גוליציה (בכינוי Serotav) דיווח לגוגל על הבאג ב-4 באוגוסט 2026 וקיבל פרס של 1,000 דולר. מאוחר יותר פרסם ניתוח טכני בשם "When Sorting Leads to Confusion", שבו תיאר את הפגיעוּת במהדר Maglev של V8: מיונים פנימיים שהוטמעו במקום קריאות ל-Array.prototype.sort יכלו להשאיר מערך שמכיל איברים לא שלמים עם מפה השמורה למספרים שלמים קטנים, ומכך הפיק קריאה וכתיבה שרירותיות בערימת ה-JavaScript. אותו באג היה קיים גם במהדר Turbofan, וכדי לצאת מארגז החול הוא שילב אותו עם פגיעוּת n-day.

גוגל תיקנה את הבעיה בקומיט e0562d87 של V8 והוציאה את כרום 152.0.7977.82/.83 ל-Windows ול-macOS ואת 152.0.7977.82 ל-Linux. העדכון כולל 12 תיקוני אבטחה בסך הכול, ובהם בעיה נוספת ב-V8 — מצב מרוץ CVE-2026-85045 — וכן פגיעויות ב-Compositing, ב-Skia, ב-WebGL, ב-DevTools וב-CacheStorage.

למה זה חשוב

ב-4 בספטמבר 2026 הוסיפה CISA את הפגיעוּת לקטלוג הפגיעויות המנוצלות (KEV) וקבעה לסוכנויות הפדרליות בארה"ב מועד אחרון של 18 בספטמבר ליישם הקלות, בהתאם להנחיה לתיקון לפי רמת סיכון. הרשומה בקטלוג, בשם "Google Chromium V8 Type Confusion Vulnerability", מחייבת ליישם את ההקלות של הספק או להפסיק להשתמש במוצר אם אין הקלה.

מכיוון ש-V8 משותף לכל הדפדפנים המבוססים על Chromium, התיקון אינו נוגע רק לכרום: כל דפדפן שנבנה על המנוע הזה זקוק לעדכון המתאים. עבור המשתמשים הצעד המעשי פשוט — הפעילו מחדש את הדפדפן כדי שהעדכון ייכנס לתוקף.