CVE-2026-85046
Type confusion in V8 in Google Chrome prima della versione 152.0.7977.82 ha permesso a un aggressore remoto di eseguire codice arbitrario all'interno della sandbox tramite una pagina HTML appositamente creata. (Gravità di sicurezza di Chromium: Alta)
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 4 set 2026
- Le agenzie federali statunitensi devono correggerla entro il 18 set 2026 (direttiva BOD 22-01)
- Attaccata 1 giorno prima che la vulnerabilità fosse resa pubblica
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fonte: CISA KEV · 21 set 2026 14 set 2026 9 set 2026 8 set 2026 4 set 2026 4 set 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| chrome | < 152.0.7977.82 | |
| v8 | < 15.3.48 |
Articoli correlati
BragJack trasforma le estensioni del browser in canali di controllo per gli agenti AI
BragJack sfrutta estensioni malevole e Prompt Forcing per dirottare agenti AI in Chrome, Edge e altri: accesso a file, screenshot e azioni online.
Google corregge la vulnerabilità zero-day del modem Pixel sfruttata in attacchi mirati
Google ha corretto CVE-2026-58704, zero-day del modem Pixel sfruttata in attacchi mirati. CISA conferma: aggiornare al patch level 2026-09-05.
Hacker legati alla Cina concatenano zero-day di Chrome e Windows per violare le ONG
Hacker cinesi UTA0560 e APT31 sfruttano tre zero-day di Chrome e Windows via spear-phishing per violare ONG con backdoor GRIMWEDGE e rubare credenziali.
UNC3569 ha sfruttato Sogou Input Method per installare la backdoor GRAYRABBIT
UNC3569 ha sfruttato Sogou Input Method via protocollo sgbiz e Chromium obsoleto per eseguire codice e installare la backdoor GRAYRABBIT.
CVE-2025-25249 di Fortinet sfruttata su larga scala per installare la RAT PivotC2
Sfruttata CVE-2025-25249 Fortinet: heap overflow RCE installa RAT PivotC2 su FortiOS, 30mila IP scansionati e 178 dispositivi compromessi.
BlueMoon Exploit Kit offre a quattro gruppi di cyberspionaggio una catena d’attacco condivisa da Chrome a Windows
BlueMoon concatena due vulnerabilità Chrome/V8 e una Windows per attacchi spear-phishing: quattro gruppi APT lo usano per spionaggio dal 28 agosto 2026.
Zero-day di Chrome V8 sfruttato in attacchi in corso: aggiornare subito alla versione 153
Google conferma zero-day V8 CVE-2026-87491 sfruttato in attacchi: aggiorna Chrome alla versione 153 per correggere scrittura oltre i limiti.
La falla di N-able N-central sfruttata attivamente consente l'esecuzione remota di codice prima dell'autenticazione
CISA conferma sfruttamento attivo di CVE-2026-86218 in N-able N-central: RCE pre-autenticazione con CVSS 9,8. Aggiorna a Hotfix 4 entro l'11 settembre.
PostgreSQL, falla nel logical decoding permette di eseguire codice come utente `postgres`
CVE-2026-6471 PostGREShell permette RCE come postgres via logical decoding. Versioni colpite, attacco con dlopen e patch whitelist spiegate.
Chrome, corretto il sesto zero-day del 2026: attacchi attivi contro il motore V8
Google corregge CVE-2026-85046, type confusion in V8 sfruttata in attacchi reali: aggiorna Chrome alle build 152.0.7977.82/83 per proteggerti.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.