Google випустила екстрене виправлення для чергового zero-day у Chrome, і цю вразливість уже використовували проти реальних користувачів до того, як з'явився патч. Вразливість, що відстежується як CVE-2026-85046, є помилкою типового змішування (type confusion) високого рівня небезпеки, і Google підтвердила, що її активно експлуатували в реальних умовах. Якщо ви досі ігнорували повідомлення про оновлення браузера, то цей тиждень — саме час це змінити.

Що сталося з CVE-2026-85046

За повідомленням BleepingComputer, вада міститься в механізмі рендерингу Chrome і походить від проблеми типового змішування — класу помилок, що виникає, коли браузер трактує частину даних як один тип об'єкта, тоді як насправді це інший. Така невідповідність може дозволити зловмисникам пошкоджувати пам'ять, а в найгірших випадках — виконувати власний код на машині жертви, просто змусивши її завантажити шкідливу вебсторінку.

Google усунула проблему в Chrome 152.0.7977.82/.83 для Windows і macOS та 152.0.7977.82 для Linux. Оновлення прийшло не саме по собі. Google включила виправлення ще 11 проблем у той самий випуск, що цілком типово для оновлення стабільного каналу, але найважливішим є саме zero-day, адже його вже експлуатували до появи патча.

Як це зазвичай буває, Google приховала більшість технічних деталей про експлойт і про те, хто може за ним стояти. Це свідомий вибір: передчасне оприлюднення подробиць дало б дорожню карту всім, хто ще не застосував оновлення. Це також означає, що більшість користувачів ніколи не дізнаються, чи були вони особисто ціллю, і саме тому швидке встановлення патча важливіше за очікування додаткової інформації.

Чому це відбувається знову й знову

Zero-day у Chrome, що експлуатуються в реальних умовах, стали повторюваною історією, а не рідкісною подією, і CVE-2026-85046 вписується в цю закономірність. Помилки типового змішування та use-after-free належать до найпоширеніших категорій, які виявляють команди безпеки Google та сторонні дослідники, значною мірою тому, що механізм рендерингу Chrome має обробляти величезні обсяги недовіреного коду з відкритого вебу щоразу, коли завантажується сторінка. Зловмисники, які знаходять ці вади раніше за Google, можуть тихо перетворити їх на зброю, часто проти вузького кола цілей, перш ніж ширше розкриття змусить випустити виправлення.

У нашому попередньому матеріалі про цю саму вразливість детальніше розглядався ризик для приватності, пов'язаний з CVE-2026-85046, і до нього варто повернутися, якщо ви хочете глибший технічний розбір. Це також не перший випадок цього року, коли Google довелося терміново випускати виправлення, — подібна ситуація описана в нашому звіті про попередній екстрений патч Chrome від Google.

Що це означає для вас

Для більшості звичайних користувачів Chrome практичний ризик від одного zero-day часто нижчий, ніж можна подумати з заголовків. Атаки, що експлуатують щойно виявлені вразливості, як ця, зазвичай є цільовими, а не розкиданими по всьому інтернету, і часто спрямовані на конкретних осіб — журналістів, активістів або людей на чутливих посадах. Втім, щойно вразливість стає загальновідомою, вікно для опортуністичних зловмисників, які будують власні експлойти, швидко звужується, тож зволікання з оновленням перетворює вузький ризик на ширший.

Якщо ви використовуєте Chrome для чогось, пов'язаного з чутливим переглядом — чи то банківські операції, робоча пошта, чи просто вхід в акаунти, які ви воліли б зберегти приватними, — неоновлений браузер є однією з найлегших точок входу для будь-кого, хто намагається перехопити ваші дані. Помилка типового змішування, що дозволяє виконання коду, у неправильних руках може бути використана для встановлення шпигунського ПЗ, крадіжки сесійних cookie або захоплення акаунтів без жодних помітних ознак на екрані.

Як перевірити та оновити Chrome

Chrome зазвичай оновлюється автоматично у фоновому режимі, але виправлення набуває чинності лише після перезапуску браузера. Щоб переконатися, що ви захищені, відкрийте Chrome, натисніть меню з трьома крапками у верхньому правому куті та перейдіть до розділу Help, а потім About Google Chrome. Там буде показано вашу поточну версію та запущено перевірку оновлень, якщо воно ще не встановилося. Коли перевірка завершиться, знайдіть згадані вище номери версій — 152.0.7977.82 або .83 залежно від вашої операційної системи — і перезапустіть браузер, щоб завершити оновлення.

Ця сама порада стосується браузерів на базі Chromium, побудованих на рушії Google, оскільки багато з них успадковують схожий код рендерингу і, ймовірно, отримають порівнянні патчі за власними графіками випусків.

Практичні висновки

Перевірте свою версію Chrome сьогодні та перезапустіть браузер, якщо оновлення очікує встановлення, замість того щоб відкладати це до наступного запланованого перезавантаження. Увімкніть автоматичні оновлення, якщо ви ще цього не зробили, адже ручну перевірку легко забути. Будьте обережні з натисканням на незнайомі посилання чи відвідуванням незнайомих сайтів, доки не переконалися, що ваш браузер актуальний, оскільки для експлуатації цієї вади не потрібно було нічого, крім завантаження шкідливої сторінки. Нарешті, стежте за майбутніми розкриттями zero-day у Chrome. Цьогорічна закономірність показує, що Google швидко знаходить і виправляє ці проблеми, але ця швидкість захищає вас лише тоді, коли ви справді встановлюєте оновлення, коли воно з'являється.