Chrome Zero-Day CVE-2026-85046: CISAs deadline den 18 september

En Chrome-bugg som angripare redan använde

Google har åtgärdat ytterligare en aktivt utnyttjad Chrome zero-day, och klockan tickar nu för alla som inte har uppdaterat. Felet, som spåras som CVE-2026-85046, åtgärdades den 4 september 2026, men USA:s cybersäkerhets- och infrastruktursäkerhetsmyndighet (CISA) har redan lagt till det i sin katalog över kända utnyttjade sårbarheter (KEV), vilket ger federala myndigheter till den 18 september på sig att applicera patchen. Det korta fönstret är en stark signal om hur allvarligt säkerhetstjänstemän behandlar denna bugg, och det är en påminnelse om att vanliga Chrome-användare inte heller bör vänta.

Detta är inte första gången som denna specifika sårbarhet har hamnat i rubrikerna. Som vi bevakade när Chrome zero-day CVE-2026-85046-patchen först levererades, utfärdade Google en nöduppdatering efter att ha bekräftat att attacker i verkligheten redan utnyttjade felet innan en fix var tillgänglig. CISAs deadline lägger till ett nytt lager av brådska till en historia som redan rörde sig snabbt.

Vad som gör CVE-2026-85046 farlig

CVE-2026-85046 finns i V8, JavaScript- och WebAssembly-motorn som driver Chrome och alla Chromium-baserade webbläsare. Specifikt är det en typförväxlingssårbarhet, en klass av buggar där webbläsaren felidentifierar typen av data den hanterar, vilket kan låta angripare manipulera minne på sätt som aldrig var avsedda. I praktiken innebär det att en specialgjord webbsida kan utlösa felet och potentiellt uppnå godtycklig kodkörning inuti webbläsarens sandlåda, den isolerade miljö som Chrome använder för att hindra skadligt innehåll från att röra resten av ditt system.

Eftersom sårbarheten redan utnyttjades i naturen innan Google levererade en fix, kvalificerar den som en äkta zero-day. Angripare behövde inte reverse-engineering patchen för att lista ut hur de skulle missbruka buggen; de använde den redan mot verkliga mål. Det är just därför CISA agerade snabbt för att lägga till den i KEV-katalogen, en lista reserverad för sårbarheter med bekräftad, aktiv utnyttjning snarare än teoretisk risk.

Fixen levererades som en del av en bredare Chrome-säkerhetsuppdatering som åtgärdade flera sårbarheter, men CVE-2026-85046 utmärkte sig på grund av sin aktiva utnyttjningsstatus. Som vi detaljerade i vår tidigare bevakning som uppmanade användare att uppdatera Chrome nu på grund av integritetsrisken, kan en lyckad exploit potentiellt exponera surfaktivitet, sessionsdata eller annan känslig information för en angripare som får kodkörning inuti din webbläsare.

Varför CISAs deadline spelar roll bortom statliga nätverk

CISAs KEV-katalog är tekniskt sett ett mandat för federala civila myndigheter, men dess verkliga påverkan sträcker sig mycket längre. När CISA sätter en hård deadline som den 18 september, sänder det i praktiken ut en riskbedömning till hela säkerhetsbranschen: denna bugg är allvarlig, den används aktivt, och organisationer av alla storlekar bör behandla patchningen som en prioritet, inte som en rutinuppdatering att ta tag i så småningom.

Många företag, IT-avdelningar och säkerhetsteam utanför regeringen använder KEV-katalogen som en riktmärke för sina egna patchhanteringstidslinjer. Om en sårbarhet hamnar på listan hoppar den vanligtvis till toppen av kön. För enskilda användare finns det ingen formell deadline, men samma logik gäller. Chrome uppdaterar sig själv tyst i bakgrunden för de flesta användare, men det fungerar bara om webbläsaren får en chans att starta om och applicera uppdateringen. Om du har haft samma Chrome-flikar öppna i dagar eller veckor utan att starta om webbläsaren, kan du fortfarande köra en sårbar version.

Vad detta innebär för dig

Om du använder Chrome, eller någon Chromium-baserad webbläsare som ärver samma V8-motor, är detta värt fem minuters uppmärksamhet idag. Exploiten kräver inte att du laddar ner en fil eller klickar på en misstänkt länk i traditionell mening; att bara besöka en skadlig eller komprometterad webbsida kan räcka för att utlösa den. Det gör webbläsaruppdatering till en av få säkerhetsuppgifter där fixen är helt inom din kontroll och kräver nästan ingen ansträngning.

Hemmaanvändare, småföretag och alla som hanterar sina egna enheter bör behandla detta på samma sätt som CISA behandlar federala nätverk: som en prioritet, inte en uppgift för "så småningom". Den goda nyheten är att till skillnad från många sårbarheter har denna redan en fix tillgänglig och väntande.

Handlingsbara slutsatser

• Öppna Chromes meny, gå till Hjälp > Om Google Chrome, och låt den kontrollera efter uppdateringar. Starta om webbläsaren när uppdateringen har laddats ner för att säkerställa att patchen faktiskt träder i kraft.
• Kontrollera eventuella Chromium-baserade webbläsare du använder (inklusive de som är byggda på samma motor) för deras egna säkerhetsuppdateringar, eftersom den underliggande V8-buggen kan påverka dem också.
• Förlita dig inte enbart på automatiska bakgrundsuppdateringar om du sällan stänger eller startar om din webbläsare. Att manuellt trigga en kontroll säkerställer att du inte kör föråldrad, sårbar kod.
• Om du hanterar enheter för ett företag eller en organisation, prioritera denna patch på samma sätt som CISAs KEV-deadline föreslår att federala myndigheter bör, även om du inte är bunden av samma datum den 18 september.
• Var uppmärksam på framtida Chrome-säkerhetsbulletiner. Zero-days som CVE-2026-85046 tenderar att komma i kluster, och snabb patchning förblir det mest pålitliga försvaret som finns tillgängligt för vanliga användare.

Att uppdatera din webbläsare tar bara ett ögonblick, men det stänger dörren för en sårbarhet som angripare redan använde innan Google ens hade en fix redo. Det glappet mellan utnyttjande och patch är precis varför att hålla sig aktuell med Chrome-uppdateringar förtjänar en permanent plats på din digitala säkerhetschecklista.