Η Google διόρθωσε άλλο ένα Chrome zero-day που εκμεταλλεύονταν ενεργά επιτιθέμενοι, και ο χρόνος πλέον μετράει αντίστροφα για όποιον δεν έχει ενημερώσει. Το ελάττωμα, γνωστό ως CVE-2026-85046, διορθώθηκε στις 4 Σεπτεμβρίου 2026, αλλά...

Ένα Σφάλμα του Chrome που οι Επιτιθέμενοι Χρησιμοποιούσαν Ήδη

Η Google διόρθωσε άλλο ένα Chrome zero-day που εκμεταλλεύονταν ενεργά επιτιθέμενοι, και ο χρόνος πλέον μετράει αντίστροφα για όποιον δεν έχει ενημερώσει. Το ελάττωμα, γνωστό ως CVE-2026-85046, διορθώθηκε στις 4 Σεπτεμβρίου 2026, αλλά η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) το έχει ήδη προσθέσει στον κατάλογο Γνωστών Εκμεταλλεύσιμων Τρωτών Σημείων (KEV), δίνοντας στις ομοσπονδιακές υπηρεσίες προθεσμία έως τις 18 Σεπτεμβρίου για να εφαρμόσουν την ενημέρωση. Αυτό το σύντομο χρονικό διάστημα είναι ένα ισχυρό μήνυμα για το πόσο σοβαρά αντιμετωπίζουν οι αξιωματούχοι ασφαλείας αυτό το σφάλμα, και αποτελεί υπενθύμιση ότι οι καθημερινοί χρήστες του Chrome δεν πρέπει να περιμένουν επίσης.

Δεν είναι η πρώτη φορά που αυτή η συγκεκριμένη ευπάθεια κάνει πρωτοσέλιδα. Όπως καλύψαμε όταν κυκλοφόρησε πρώτη φορά η ενημέρωση για το Chrome zero-day CVE-2026-85046, η Google εξέδωσε επείγουσα ενημέρωση αφού επιβεβαίωσε ότι επιθέσεις στον πραγματικό κόσμο εκμεταλλεύονταν ήδη το ελάττωμα πριν διατεθεί μια διόρθωση. Η προθεσμία της CISA προσθέτει ένα νέο επίπεδο επείγοντος σε μια ιστορία που ήδη εξελισσόταν γρήγορα.

Τι Κάνει το CVE-2026-85046 Επικίνδυνο

Το CVE-2026-85046 εντοπίζεται στο V8, τον κινητήρα JavaScript και WebAssembly που τροφοδοτεί το Chrome και κάθε πρόγραμμα περιήγησης που βασίζεται στο Chromium. Συγκεκριμένα, είναι μια ευπάθεια σύγχυσης τύπου, μια κατηγορία σφαλμάτων όπου το πρόγραμμα περιήγησης αναγνωρίζει λανθασμένα τον τύπο των δεδομένων που διαχειρίζεται, επιτρέποντας στους επιτιθέμενους να χειριστούν τη μνήμη με τρόπους που δεν προβλέπονταν ποτέ. Στην πράξη, αυτό σημαίνει ότι μια ειδικά διαμορφωμένη ιστοσελίδα μπορεί να ενεργοποιήσει το ελάττωμα και ενδεχομένως να επιτύχει αυθαίρετη εκτέλεση κώδικα μέσα στο sandbox του προγράμματος περιήγησης, το απομονωμένο περιβάλλον που χρησιμοποιεί το Chrome για να εμποδίσει το κακόβουλο περιεχόμενο να αγγίξει το υπόλοιπο σύστημά σας.

Επειδή η ευπάθεια εκμεταλλεύονταν ήδη στο πεδίο πριν η Google κυκλοφορήσει τη διόρθωση, χαρακτηρίζεται ως πραγματικό zero-day. Οι επιτιθέμενοι δεν χρειάστηκε να κάνουν reverse-engineer στην ενημέρωση για να καταλάβουν πώς να εκμεταλλευτούν το σφάλμα· το χρησιμοποιούσαν ήδη εναντίον πραγματικών στόχων. Αυτός είναι ακριβώς ο λόγος που η CISA κινήθηκε γρήγορα για να το προσθέσει στον κατάλογο KEV, μια λίστα που προορίζεται για ευπάθειες με επιβεβαιωμένη, ενεργή εκμετάλλευση και όχι θεωρητικό κίνδυνο.

Η διόρθωση ήρθε ως μέρος μιας ευρύτερης ενημέρωσης ασφαλείας του Chrome που αντιμετώπιζε πολλαπλές ευπάθειες, αλλά το CVE-2026-85046 ξεχώρισε λόγω της κατάστασης ενεργού εκμετάλλευσης. Όπως αναλυτικά αναφέραμε στην προηγούμενη κάλυψή μας που προέτρεπε τους χρήστες να ενημερώσουν το Chrome άμεσα λόγω του κινδύνου για την ιδιωτικότητα, μια επιτυχημένη εκμετάλλευση θα μπορούσε ενδεχομένως να αποκαλύψει δραστηριότητα περιήγησης, δεδομένα συνόδου ή άλλες ευαίσθητες πληροφορίες σε έναν επιτιθέμενο που αποκτά εκτέλεση κώδικα μέσα στο πρόγραμμα περιήγησής σας.

Γιατί Η Προθεσμία της CISA Έχει Σημασία Πέρα από τα Κυβερνητικά Δίκτυα

Ο κατάλογος KEV της CISA είναι τεχνικά υποχρεωτικός για τις ομοσπονδιακές πολιτικές υπηρεσίες, αλλά ο αντίκτυπός του στον πραγματικό κόσμο εκτείνεται πολύ περισσότερο. Όταν η CISA θέτει μια αυστηρή προθεσμία όπως η 18η Σεπτεμβρίου, ουσιαστικά εκπέμπει μια αξιολόγηση κινδύνου σε ολόκληρη τη βιομηχανία ασφαλείας: αυτό το σφάλμα είναι σοβαρό, χρησιμοποιείται ενεργά, και οργανισμοί κάθε μεγέθους θα πρέπει να αντιμετωπίσουν την ενημέρωση ως προτεραιότητα, όχι ως μια συνήθη αναβάθμιση για αργότερα.

Πολλές επιχειρήσεις, τμήματα πληροφορικής και ομάδες ασφαλείας εκτός κυβέρνησης χρησιμοποιούν τον κατάλογο KEV ως σημείο αναφοράς για τα δικά τους χρονοδιαγράμματα διαχείρισης ενημερώσεων. Εάν μια ευπάθεια μπει στη λίστα, συνήθως ανεβαίνει στην κορυφή της ουράς. Για μεμονωμένους χρήστες, δεν υπάρχει επίσημη προθεσμία, αλλά ισχύει η ίδια λογική. Το Chrome ενημερώνεται αυτόματα στο παρασκήνιο για τους περισσότερους χρήστες, αλλά αυτό λειτουργεί μόνο εάν το πρόγραμμα περιήγησης έχει την ευκαιρία να επανεκκινήσει και να εφαρμόσει την ενημέρωση. Εάν έχετε τις ίδιες καρτέλες Chrome ανοιχτές για μέρες ή εβδομάδες χωρίς επανεκκίνηση, μπορεί να εξακολουθείτε να εκτελείτε μια ευάλωτη έκδοση.

Τι Σημαίνει Αυτό Για Εσάς

Εάν χρησιμοποιείτε Chrome, ή οποιοδήποτε πρόγραμμα περιήγησης που βασίζεται στο Chromium και κληρονομεί τον ίδιο κινητήρα V8, αξίζει πέντε λεπτά προσοχής σήμερα. Η εκμετάλλευση δεν απαιτεί να κατεβάσετε ένα αρχείο ή να κάνετε κλικ σε έναν ύποπτο σύνδεσμο με την παραδοσιακή έννοια· απλώς η επίσκεψη σε μια κακόβουλη ή παραβιασμένη ιστοσελίδα μπορεί να είναι αρκετή για να την ενεργοποιήσει. Αυτό καθιστά την ενημέρωση του προγράμματος περιήγησης μία από τις λίγες εργασίες ασφαλείας όπου η διόρθωση είναι εξ ολοκλήρου υπό τον έλεγχό σας και απαιτεί σχεδόν μηδενική προσπάθεια.

Οι οικιακοί χρήστες, οι μικρές επιχειρήσεις και όποιος διαχειρίζεται τις δικές του συσκευές θα πρέπει να το αντιμετωπίσουν με τον ίδιο τρόπο που η CISA αντιμετωπίζει τα ομοσπονδιακά δίκτυα: ως προτεραιότητα, όχι ως εργασία για κάποια στιγμή αργότερα. Τα καλά νέα είναι ότι, σε αντίθεση με πολλές ευπάθειες, αυτή έχει ήδη διαθέσιμη και αναμένουσα διόρθωση.

Πρακτικά Συμπεράσματα

• Ανοίξτε το μενού του Chrome, μεταβείτε σε Βοήθεια > Σχετικά με το Google Chrome, και αφήστε το να ελέγξει για ενημερώσεις. Επανεκκινήστε το πρόγραμμα περιήγησης μόλις ολοκληρωθεί η λήψη της ενημέρωσης για να βεβαιωθείτε ότι η διόρθωση ισχύει πραγματικά.
• Ελέγξτε τα προγράμματα περιήγησης που βασίζονται στο Chromium που χρησιμοποιείτε (συμπεριλαμβανομένων αυτών που είναι χτισμένα στον ίδιο κινητήρα) για τις δικές τους ενημερώσεις ασφαλείας, καθώς το υποκείμενο ελάττωμα στο V8 μπορεί να τα επηρεάσει επίσης.
• Μην βασίζεστε αποκλειστικά στις αυτόματες ενημερώσεις παρασκηνίου εάν σπάνια κλείνετε ή επανεκκινείτε το πρόγραμμα περιήγησής σας. Ο χειροκίνητος έλεγχος διασφαλίζει ότι δεν εκτελείτε ξεπερασμένο, ευάλωτο κώδικα.
• Εάν διαχειρίζεστε συσκευές για επιχείρηση ή οργανισμό, δώστε προτεραιότητα σε αυτήν την ενημέρωση με τον ίδιο τρόπο που η προθεσμία της CISA για το KEV προτείνει για τις ομοσπονδιακές υπηρεσίες, ακόμη κι αν δεν δεσμεύεστε από την ίδια ημερομηνία της 18ης Σεπτεμβρίου.
• Παραμείνετε σε εγρήγορση για μελλοντικά δελτία ασφαλείας του Chrome. Zero-days όπως το CVE-2026-85046 τείνουν να εμφανίζονται σε ομάδες, και η άμεση ενημέρωση παραμένει η πιο αξιόπιστη άμυνα που διαθέτουν οι καθημερινοί χρήστες.

Η ενημέρωση του προγράμματος περιήγησής σας χρειάζεται μόνο μια στιγμή, αλλά κλείνει την πόρτα σε μια ευπάθεια που οι επιτιθέμενοι χρησιμοποιούσαν ήδη πριν η Google είχε έτοιμη τη διόρθωση. Αυτό το κενό μεταξύ εκμετάλλευσης και ενημέρωσης είναι ακριβώς ο λόγος που το να παραμένετε ενημερωμένοι με τις ενημερώσεις του Chrome αξίζει μια μόνιμη θέση στη λίστα ελέγχου ψηφιακής ασφάλειας.

FAQ Q1: Τι είναι το CVE-2026-85046; A1: Είναι μια ευπάθεια zero-day του Chrome στον κινητήρα JavaScript και WebAssembly V8, συγκεκριμένα ένα σφάλμα σύγχυσης τύπου που μπορεί να επιτρέψει αυθαίρετη εκτέλεση κώδικα μέσα στο sandbox του προγράμματος περιήγησης. Q2: Γιατί η CISA όρισε προθεσμία στις 18 Σεπτεμβρίου; A2: Η CISA πρόσθεσε την ευπάθεια στον κατάλογο Γνωστών Εκμεταλλεύσιμων Τρωτών Σημείων και έδωσε στις ομοσπονδιακές υπηρεσίες προθεσμία έως τις 18 Σεπτεμβρίου για να εφαρμόσουν την ενημέρωση επειδή το ελάττωμα εκμεταλλεύονταν ήδη ενεργά στο πεδίο. Q3: Πότε διορθώθηκε η ευπάθεια; A3: Η Google διόρθωσε το CVE-2026-85046 στις 4 Σεπτεμβρίου 2026, ως μέρος μιας ευρύτερης ενημέρωσης ασφαλείας του Chrome. Q4: Τι μπορεί να κάνει ένας επιτιθέμενος εκμεταλλευόμενος αυτό το ελάττωμα; A4: Μια ειδικά διαμορφωμένη ιστοσελίδα μπορεί να ενεργοποιήσει το ελάττωμα για να επιτύχει αυθαίρετη εκτέλεση κώδικα μέσα στο sandbox του Chrome, ενδεχομένως αποκαλύπτοντας δραστηριότητα περιήγησης, δεδομένα συνόδου ή άλλες ευαίσθητες πληροφορίες. Q5: Είναι αυτή η ευπάθεια πραγματικό zero-day; A5: Ναι, επειδή οι επιτιθέμενοι την εκμεταλλεύονταν ήδη στο πεδίο πριν η Google κυκλοφορήσει μια διόρθωση, που σημαίνει ότι δεν χρειάστηκε να κάνουν reverse-engineer στην ενημέρωση για να εκμεταλλευτούν το σφάλμα. ---END---