أصدرت غوغل يوم الخميس تحديثات أمنية لمتصفح كروم تعالج 12 ثغرة، إحداها مستغلة فعليًا في هجمات نشطة. الثغرة، المسجّلة تحت المعرّف CVE-2026-85046 بدرجة خطورة 8.8، هي خلل من نوع «خلط الأنواع» (Type Confusion) في V8 — محرك JavaScript وWebAssembly في المتصفح — بحسب ما نقله موقع The Hacker News.
ما نعرفه عن الثغرة
يصف سجل CVE.org الخلل بأنه يسمح «لمهاجم عن بُعد بتنفيذ شفرة عشوائية داخل الصندوق الرملي عبر صفحة HTML مصمَّمة». اكتشفها الباحث سلفاتوري غوليتسيا (Serotav) وأبلغ عنها في 4 أغسطس 2026، ونال مكافأة قدرها 1,000 دولار. في تدوينة منفصلة وصفها بأنها خلل في مُصرِّفات V8 يجعل مصفوفة من نوع PACKED_ELEMENTS تتلقى خريطة PACKED_SMI_ELEMENTS، وهو ما يمكن تحويله إلى قراءة وكتابة عشوائيتين في كومة JavaScript.
كالعادة في هذه الحالات، اكتفت غوغل بالإقرار بأن «استغلالًا لـ CVE-2026-85046 موجود في الواقع» دون تفاصيل عن طبيعة الهجمات أو منفّذيها — سياسة تهدف إلى منح أغلب المستخدمين فرصة التحديث قبل أن يحاول فاعلون آخرون استنساخ الاستغلال.
السادسة هذا العام
بهذا التحديث يصل عدد ثغرات يوم-الصفر المستغلة التي عالجتها غوغل في كروم منذ بداية 2026 إلى ست، بعد CVE-2026-2441 وCVE-2026-3909 وCVE-2026-3910 وCVE-2026-5281 وCVE-2026-11645. ثغرات V8 تحديدًا تتكرر لأن المحرك هو السطح الأكبر تعقيدًا في المتصفح، وأي خلل في افتراضات المُصرِّف عن أنواع البيانات يتحول بسرعة إلى بدائية قراءة/كتابة.
CISA تضعها في قائمة KEV
في 4 سبتمبر أضافت وكالة الأمن السيبراني الأمريكية (CISA) الثغرة إلى فهرس الثغرات المستغلة المعروفة (KEV)، مُلزمةً الوكالات الفيدرالية بتطبيق التصحيح بحلول 18 سبتمبر 2026. القائمة إشارة مفيدة للجميع لا للحكومة الأمريكية وحدها: ما يدخلها يُستغل فعلًا.
للمؤسسات
- ادفع التحديث عبر سياسات الإدارة المركزية (Chrome Browser Cloud Management أو GPO) ولا تنتظر التحديث التلقائي الذي قد يتأخر أيامًا على الأجهزة التي لا يُعاد تشغيل متصفحها.
- تحقق من الإصدار المنتشر عبر تقارير الأصول؛ أي جهاز دون 152.0.7977.82 يُعدّ معرّضًا.
- تذكّر أن التطبيقات المبنية على Electron وWebView تحمل نسخًا خاصة من V8 وتحتاج تحديثاتها المنفصلة.
