Chrome Zero-Day CVE-2026-85046: Η προθεσμία της CISA στις 18 Σεπτεμβρίου

Ένα σφάλμα του Chrome που οι επιτιθέμενοι χρησιμοποιούσαν ήδη

Η Google διόρθωσε άλλο ένα ενεργά εκμεταλλευόμενο zero-day του Chrome και το ρολόι πλέον μετρά αντίστροφα για όποιον δεν έχει ενημερώσει. Το σφάλμα, με κωδικό CVE-2026-85046, διορθώθηκε στις 4 Σεπτεμβρίου 2026, αλλά η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) το έχει ήδη προσθέσει στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV), δίνοντας στις ομοσπονδιακές υπηρεσίες προθεσμία έως τις 18 Σεπτεμβρίου για να εφαρμόσουν τη διόρθωση. Αυτό το σύντομο χρονικό περιθώριο είναι ισχυρή ένδειξη για το πόσο σοβαρά αντιμετωπίζουν οι αξιωματούχοι ασφαλείας αυτό το σφάλμα, και αποτελεί υπενθύμιση ότι ούτε οι καθημερινοί χρήστες του Chrome πρέπει να περιμένουν.

Δεν είναι η πρώτη φορά που αυτή η συγκεκριμένη ευπάθεια βρίσκεται στις ειδήσεις. Όπως καλύψαμε όταν κυκλοφόρησε για πρώτη φορά η διόρθωση του Chrome zero-day CVE-2026-85046, η Google εξέδωσε επείγουσα ενημέρωση αφού επιβεβαίωσε ότι πραγματικές επιθέσεις εκμεταλλεύονταν ήδη το σφάλμα πριν υπάρξει διαθέσιμη διόρθωση. Η προθεσμία της CISA προσθέτει ένα νέο επίπεδο επείγοντος σε μια ιστορία που ήδη εξελισσόταν γρήγορα.

Τι καθιστά επικίνδυνο το CVE-2026-85046

Το CVE-2026-85046 εντοπίζεται στη V8, τη μηχανή JavaScript και WebAssembly που τροφοδοτεί τον Chrome και κάθε πρόγραμμα περιήγησης βασισμένο στο Chromium. Συγκεκριμένα, πρόκειται για μια ευπάθεια σύγχυσης τύπων (type confusion), μια κατηγορία σφάλματος όπου το πρόγραμμα περιήγησης αναγνωρίζει λανθασμένα τον τύπο των δεδομένων που επεξεργάζεται, γεγονός που μπορεί να επιτρέψει σε επιτιθέμενους να χειραγωγήσουν τη μνήμη με τρόπους που δεν είχαν ποτέ προβλεφθεί. Στην πράξη, αυτό σημαίνει ότι μια ειδικά κατασκευασμένη ιστοσελίδα μπορεί να ενεργοποιήσει το σφάλμα και δυνητικά να επιτύχει αυθαίρετη εκτέλεση κώδικα μέσα στο sandbox του προγράμματος περιήγησης, το απομονωμένο περιβάλλον που χρησιμοποιεί ο Chrome για να εμποδίζει κακόβουλο περιεχόμενο να αγγίξει το υπόλοιπο σύστημά σας.

Επειδή η ευπάθεια εκμεταλλευόταν ήδη στην άγρια φύση πριν η Google κυκλοφορήσει διόρθωση, χαρακτηρίζεται ως γνήσιο zero-day. Οι επιτιθέμενοι δεν χρειάστηκε να κάνουν αντίστροφη μηχανική της διόρθωσης για να καταλάβουν πώς να εκμεταλλευτούν το σφάλμα· το χρησιμοποιούσαν ήδη εναντίον πραγματικών στόχων. Αυτός είναι ακριβώς ο λόγος που η CISA κινήθηκε γρήγορα για να το προσθέσει στον κατάλογο KEV, μια λίστα που προορίζεται για ευπάθειες με επιβεβαιωμένη, ενεργή εκμετάλλευση και όχι για θεωρητικό κίνδυνο.

Η διόρθωση έφτασε στο πλαίσιο μιας ευρύτερης έκδοσης ασφαλείας του Chrome που αντιμετώπιζε πολλαπλές ευπάθειες, αλλά το CVE-2026-85046 ξεχώρισε λόγω του καθεστώτος ενεργής εκμετάλλευσής του. Όπως αναλύσαμε στην προηγούμενη κάλυψή μας που προέτρεπε τους χρήστες να ενημερώσουν τον Chrome τώρα λόγω του κινδύνου για την ιδιωτικότητα, μια επιτυχημένη εκμετάλλευση θα μπορούσε δυνητικά να εκθέσει τη δραστηριότητα περιήγησης, δεδομένα συνεδρίας ή άλλες ευαίσθητες πληροφορίες σε έναν επιτιθέμενο που αποκτά εκτέλεση κώδικα μέσα στο πρόγραμμα περιήγησής σας.

Γιατί η προθεσμία της CISA έχει σημασία πέρα από τα κυβερνητικά δίκτυα

Ο κατάλογος KEV της CISA είναι τεχνικά εντολή για τις ομοσπονδιακές πολιτικές υπηρεσίες, αλλά ο πραγματικός αντίκτυπός του φτάνει πολύ πιο μακριά. Όταν η CISA θέτει μια σκληρή προθεσμία όπως η 18η Σεπτεμβρίου, ουσιαστικά μεταδίδει μια αξιολόγηση κινδύνου σε ολόκληρη τη βιομηχανία ασφαλείας: αυτό το σφάλμα είναι σοβαρό, χρησιμοποιείται ενεργά και οργανισμοί κάθε μεγέθους θα πρέπει να θεωρούν την επιδιόρθωσή του προτεραιότητα, όχι μια routine ενημέρωση για κάποια στιγμή στο μέλλον.

Πολλές επιχειρήσεις, τμήματα IT και ομάδες ασφαλείας εκτός κυβέρνησης χρησιμοποιούν τον κατάλογο KEV ως σημείο αναφοράς για τα δικά τους χρονοδιαγράμματα διαχείρισης ενημερώσεων. Αν μια ευπάθεια μπει στη λίστα, συνήθως πηγαίνει στην κορυφή της ουράς. Για μεμονωμένους χρήστες δεν υπάρχει επίσημη προθεσμία, αλλά ισχύει η ίδια λογική. Ο Chrome ενημερώνεται σιωπηλά στο παρασκήνιο για τους περισσότερους χρήστες, αλλά αυτό λειτουργεί μόνο αν το πρόγραμμα περιήγησης έχει την ευκαιρία να επανεκκινήσει και να εφαρμόσει την ενημέρωση. Αν έχετε τις ίδιες καρτέλες του Chrome ανοιχτές για μέρες ή εβδομάδες χωρίς επανεκκίνηση, μπορεί να εκτελείτε ακόμα μια ευάλωτη έκδοση.

Τι σημαίνει αυτό για εσάς

Αν χρησιμοποιείτε τον Chrome, ή οποιοδήποτε πρόγραμμα περιήγησης βασισμένο στο Chromium που κληρονομεί την ίδια μηχανή V8, αξίζει πέντε λεπτά προσοχής σήμερα. Η εκμετάλλευση δεν απαιτεί να κατεβάσετε ένα αρχείο ή να κάνετε κλικ σε έναν ύποπτο σύνδεσμο με την παραδοσιακή έννοια· η απλή επίσκεψη σε μια κακόβουλη ή παραβιασμένη ιστοσελίδα θα μπορούσε να αρκεί για να την ενεργοποιήσει. Αυτό καθιστά την ενημέρωση του προγράμματος περιήγησης μία από τις λίγες εργασίες ασφαλείας όπου η διόρθωση βρίσκεται εξ ολοκλήρου στα χέρια σας και δεν απαιτεί σχεδόν καμία προσπάθεια.

Οι οικιακοί χρήστες, οι μικρές επιχειρήσεις και οποιοσδήποτε διαχειρίζεται τις δικές του συσκευές θα πρέπει να το αντιμετωπίσει όπως η CISA αντιμετωπίζει τα ομοσπονδιακά δίκτυα: ως προτεραιότητα, όχι ως κάποια στιγμή στο μέλλον. Τα καλά νέα είναι ότι, σε αντίθεση με πολλές ευπάθειες, αυτή έχει ήδη διαθέσιμη διόρθωση που περιμένει.

Πρακτικά συμπεράσματα

• Ανοίξτε το μενού του Chrome, μεταβείτε στο Βοήθεια > Σχετικά με το Google Chrome και αφήστε το να ελέγξει για ενημερώσεις. Επανεκκινήστε το πρόγραμμα περιήγησης μόλις ληφθεί η ενημέρωση για να βεβαιωθείτε ότι η διόρθωση εφαρμόζεται πραγματικά.
• Ελέγξτε οποιαδήποτε προγράμματα περιήγησης βασισμένα στο Chromium χρησιμοποιείτε (συμπεριλαμβανομένων εκείνων που είναι χτισμένα στην ίδια μηχανή) για τις δικές τους ενημερώσεις ασφαλείας, καθώς το υποκείμενο σφάλμα της V8 μπορεί να τα επηρεάσει επίσης.
• Μην βασίζεστε αποκλειστικά στις αυτόματες ενημερώσεις στο παρασκήνιο αν σπάνια κλείνετε ή επανεκκινείτε το πρόγραμμα περιήγησής σας. Η χειροκίνητη ενεργοποίηση ελέγχου διασφαλίζει ότι δεν εκτελείτε παρωχημένο, ευάλωτο κώδικα.
• Αν διαχειρίζεστε συσκευές για μια επιχείρηση ή οργανισμό, δώστε προτεραιότητα σε αυτή τη διόρθωση όπως υποδηλώνει η προθεσμία KEV της CISA ότι πρέπει να κάνουν οι ομοσπονδιακές υπηρεσίες, ακόμα κι αν δεν δεσμεύεστε από την ίδια ημερομηνία της 18ης Σεπτεμβρίου.
• Μείνετε σε εγρήγορση για μελλοντικά δελτία ασφαλείας του Chrome. Τα zero-day όπως το CVE-2026-85046 τείνουν να έρχονται σε ομάδες, και η άμεση ενημέρωση παραμένει η πιο αξιόπιστη άμυνα που έχουν στη διάθεσή τους οι καθημερινοί χρήστες.

Η ενημέρωση του προγράμματος περιήγησής σας διαρκεί μόνο μια στιγμή, αλλά κλείνει την πόρτα σε μια ευπάθεια που οι επιτιθέμενοι χρησιμοποιούσαν ήδη προτού η Google έχει έτοιμη διόρθωση. Αυτό ακριβώς το χάσμα μεταξύ εκμετάλλευσης και διόρθωσης είναι ο λόγος που η διατήρηση των ενημερώσεων του Chrome στην επικαιρότητα αξίζει μόνιμη θέση στη λίστα ψηφιακής ασφάλειάς σας.