Der nun geschlossene Fehler betrifft V8, jene Komponente von Chrome, die JavaScript- und WebAssembly-Code ausführt. Bei einer Type Confusion behandelt das Programm einen Speicherbereich als anderen Datentyp, als er tatsächlich hat – ein Fehlermuster, das sich in Browser-Engines regelmäßig zu Codeausführung ausbauen lässt. Genau das beschreibt auch die Einstufung auf CVE.org: In Chrome-Versionen vor 152.0.7977.82 konnte ein entfernter Angreifer über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen.
Entdecker Salvatore Gulizia, in der Szene als Serotav bekannt, hat den Fehler in einem eigenen Blogbeitrag technisch aufgeschlüsselt. Er spricht von einem “V8-Fehler in den Compilern, der dazu führt, dass ein Array mit PACKED_ELEMENTS die Map PACKED_SMI_ELEMENTS erhält; das lässt sich in beliebiges Lesen und Schreiben auf dem JavaScript-Heap verwandeln”. Die Meldung ging laut Google am 4. August 2026 ein, honoriert wurde sie mit 1.000 US-Dollar aus dem Bug-Bounty-Programm.
Zur Ausnutzung selbst hält sich Google bedeckt. Der Hersteller bestätigt lediglich, dass ein Exploit für CVE-2026-85046 in freier Wildbahn existiert, nennt aber weder Angreifer noch Zielgruppen oder Zeiträume. Diese Zurückhaltung ist bei Chrome-Zero-Days Routine: Details sollen erst dann öffentlich werden, wenn die Mehrheit der Nutzerschaft den Fix installiert hat, damit nicht weitere Angreifer auf den fertigen Angriffsweg aufspringen.
CVE-2026-85046 ist nicht der erste Fall dieser Art in diesem Jahr. Google hat seit Jahresbeginn insgesamt sechs aktiv ausgenutzte Chrome-Zero-Days beseitigt; zuvor waren dies CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645. Die aktuelle Aktualisierung schließt darüber hinaus elf weitere Schwachstellen, zu denen Google keine gesonderten Angaben zur Ausnutzung macht.
Abgesichert sind Anwender mit den Versionen 152.0.7977.82 beziehungsweise .83 unter Windows und Apple macOS sowie 152.0.7977.82 unter Linux. Ob das Update bereits eingespielt ist, lässt sich über das Chrome-Menü unter “Weitere” > “Hilfe” > “Über Google Chrome” prüfen; anschließend ist ein Neustart des Browsers erforderlich, damit der Fix wirksam wird.
Da die betroffene Engine Bestandteil des Chromium-Unterbaus ist, betrifft der Fehler auch andere Browser auf dieser Basis. Nutzer von Microsoft Edge, Brave, Opera und Vivaldi sollten die entsprechenden Korrekturen einspielen, sobald die jeweiligen Hersteller sie ausliefern.