Google a corrigé CVE-2026-85046, un bug de confusion de type dans le moteur JavaScript et WebAssembly V8, via la mise à jour Chrome Stable du 3 septembre 2026, portant Chrome à la version 152.0.7977.82. La faille affiche un score CVSS de base de 8.8, touche toutes les versions antérieures de Chrome, et Google a confirmé une exploitation active le jour même. La CISA a ajouté la vulnérabilité à son catalogue des failles activement exploitées le 4 septembre, imposant aux agences fédérales une correction avant le 18 septembre.

Le chercheur en sécurité Salvatore Gulizia, connu sous le pseudonyme Serotav, a signalé le problème le 4 août 2026 et a reçu une prime de 1 000 dollars. Il s'agit du sixième zero-day Chrome activement exploité de l'année 2026, après CVE-2026-11645, CVE-2026-2441, CVE-2026-3909, CVE-2026-3910 et CVE-2026-5281.

Classé CWE-843, le bug fait confondre à V8 les représentations de tableaux : un tableau contenant des PACKED_ELEMENTS peut se voir attribuer par erreur la map PACKED_SMI_ELEMENTS. Cette confusion permet un accès en lecture et écriture arbitraire sur le tas JavaScript, déclenché dès qu'une victime charge une page HTML piégée. Aucun privilège préalable n'est requis, mais le code s'exécute dans le processus de rendu isolé (sandbox) de Chrome, si bien qu'une prise de contrôle complète de la machine nécessiterait en plus une faille distincte d'évasion de sandbox.

Comme V8 fait tourner tous les navigateurs basés sur Chromium ainsi qu'Electron, l'exposition dépasse largement la navigation classique. Des applications Electron comme Slack, Discord, VS Code, Figma, Notion et Tidal embarquent leur propre version de Chromium et n'hériteront du correctif qu'une fois Electron mis à jour et chaque application recompilée. Les instances de Chrome headless pilotées par Puppeteer ou Playwright, utilisées pour le scraping, les tests et les pipelines CI, présentent le même risque et accusent souvent un retard de plusieurs jours, semaines voire mois sur le correctif officiel de Chrome.