قالت غوغل إنه بعد تأكيد استغلال نشط لثغرة "يوم الصفر" (Zero-Day) خطيرة في محرك "V8"، أصدرت إصدارًا جديدًا من متصفح كروم الذي يعالج هذه الثغرة الأمنية إلى جانب إصلاح إحدى عشرة ثغرة أخرى.
سُجلت هذه الثغرة تحت المعرف «CVE-2026-85046» وتصنّف كـ«خلط نوع» (Type Confusion). اكتشف وأبلغ عن هذا الخلل الأمني الباحث الأمني «سالفاتوري غولزيا» (Salvatore Gulzia) المعروف على الإنترنت باسم «Serotav».
بإصدار هذا التحديث، يرتفع إصدار كروم على أنظمة ويندوز وماك أوإس إلى 152.0.7977.82/83 وعلى نظام لينكس إلى الإصدار 152.0.7977.82. يجري توزيع هذا التحديث بشكل تدريجي ومرحلي للمستخدمين.
أشارت غوغل في نشرة أمنية إلى أنها على علم بـاستغلال الثغرة «CVE-2026-85046» «في البرية» (In the Wild). وتجنّبت الشركة عمدًا الكشف عن التفاصيل الفنية وطرق الاستغلال الدقيقة للثغرة لإتاحة وقت كافٍ للمستخدمين ولمشاريع مبنية على كروم لتثبيت الباتش الأمني.
تحدث ثغرات من نوع «خلط النوع» عندما يخطئ البرنامج في تفسير نوع كائن برمجي على أنه نوع آخر؛ خطأ يمكن أن يمكّن المهاجمين من العبث بذاكرة النظام.
علماً أن "V8" هو محرك مفتوح المصدر لمعالجة جافاسكريبت و«ويب أسيمبلي» (WebAssembly) في كروم، ويتولى تجميع وتشغيل الشيفرات المستخدمة في مواقع الويب. وبناءً عليه، فإن ثغرة «CVE-2026-85046» من الناحية النظرية يمكن استغلالها عبر صفحة "HTML" مصابة بشيفرة جافاسكريبت خبيثة لتمكين تنفيذ شيفرة عن بُعد داخل عملية العرض المعزولة في كروم.
يشمل هذا التحديث أيضًا إصلاح تسع ثغرات خطيرة أخرى؛ من بينها أخطاء "الاستخدام بعد التحرير" (Use-After-Free) و"الوصول خارج حدود الذاكرة" (Out-of-Bounds Access) في أقسام مثل تقارير التعطّل، الشبكة، تكوين واجهة المستخدم، "WebGL"، "CacheStorage"، أدوات المطوّرين (DevTools) ومكتبة الرسوميات "Skia"، إلى جانب حالة تنافسية (Race Condition) في محرك "V8".
تُعد ثغرة «CVE-2026-85046» سادس ثغرة تم استغلالها بنشاط تكشف عنها غوغل وتصلحها في متصفح كروم منذ بداية هذا العام. سابقًا، تم الكشف عن ثغرة "قراءة/كتابة خارج حدود الذاكرة" المعروفة بـ«CVE-2026-11645» في محرك "V8" التي استُغلت قبل تصحيحها في يونيو (خرداد-تير).
في فبراير، أصلحت غوغل ثغرة "إبطال مكرّر للتحقق" (Iterator Invalidation) برقم «CVE-2026-2441» في مكوّن "CSSFontFeatureValuesMap"؛ وهي ثغرة تتعلق بطريقة إدارة ميزات الخطوط في متصفح كروم.
وفي مارس أيضًا، قامت الشركة بسد ثغرتين تمّ استغلالهما في هجمات سيبرانية: الأولى "الكتابة خارج حدود الذاكرة" برقم «CVE-2026-3909» في مكتبة الرسوميات ثنائية الأبعاد "Skia"، والثانية "التنفيذ غير السليم" برقم «CVE-2026-3910» في محرك "V8" المتعلق بجافاسكريبت وWebAssembly.
وفي أبريل، أصلحت غوغل ثغرة "الاستخدام بعد التحرير" برقم «CVE-2026-5281» في "Dawn" - تنفيذ متعدد المنصات لمواصفة "WebGPU" المستخدم في "Chromium".
تنصح غوغل جميع مستخدمي كروم بشدّة بتثبيت التحديث فور توفره. للقيام بذلك، يجب على المستخدمين الانتقال إلى قسم "الإعدادات" (Settings) ثم خيار "حول كروم" (About Chrome) والانتظار حتى انتهاء عملية التنزيل والتثبيت. ويجدر بالذكر أنه بعد اكتمال هذه العملية يجب إعادة تشغيل المتصفح لتطبيق التصحيحات الأمنية بالكامل.
كما يُنصح مستخدمو المتصفحات الأخرى المبنية على "Chromium"، ومنها "Microsoft Edge"، "Brave"، "Opera" و"Vivaldi"، بالقيام بنفس الإجراء، إذ من المرجح أن تصدر لها باتشات أمنية مماثلة في غضون يومين كحد أقصى.