Explotada activamente: vulnerabilidad RCE en sandbox afecta a todas las versiones de Chromium
Actively exploited sandbox RCE in all Chromium versions
CVE-2026-85046 revela una vulnerabilidad de confusión de tipos en V8, el motor de JavaScript de Google Chrome, que permite a un atacante remoto ejecutar código arbitrario dentro del sandbox mediante una página HTML manipulada. Afecta a todas las versiones de Chromium anteriores a 152.0.7977.82 y ya está siendo explotada activamente, por lo que CISA la ha incluido en su catálogo de vulnerabilidades conocidas y explotadas, exigiendo a las agencias federales aplicar los parches antes del 18 de septiembre de 2026.
La confusión de tipos en V8 en Google Chrome anterior a la versión 152.0.7977.82 permitía a un atacante remoto ejecutar código arbitrario dentro del sandbox a través de una página HTML manipulada.
- david_shaw
Tomémonos un momento para hablar sobre el valor monetario de esta vulnerabilidad.
Según la página de lanzamiento de Chrome (https://chromereleases.googleblog.com/2026/09/stable-channel...), Google pagó a un investigador $1000 por reportar esto éticamente.
El CVE asociado (CVE-2026-85046) ya está siendo explotado activamente. Si nos ponemos a pensar, ¿cuánto crees que vale realmente esta vulnerabilidad? ¿Cuánto crees que una organización como Google gastaría, por ejemplo, en tokens de IA o cómputo para detectar esto internamente antes de que fuera encontrado y explotado en la naturaleza?
La divulgación ética es un tema complicado, porque los investigadores no deberían retener bugs para pedir rescate o exigir pagos altos. Pero al mismo tiempo, si alguien envía un problema crítico como este, tiene sentido pagarles lo que el bug realmente vale. ¿Por qué un investigador debería ser penalizado efectivamente por informar responsablemente a un proveedor en lugar de vender el bug a una "firma de investigación" o agencia de tres letras?
Una cosa es si eres un mantenedor de un proyecto de código abierto que solo intenta publicar algo para la comunidad. La matemática es muy diferente si eres Google.
- publlus_enigma
Normalizar la ejecución de código arbitrario enviado a través de internet (en forma de JavaScript y WASM) como condición necesaria para acceder a la mayoría de las páginas web puede no haber sido una de las mejores decisiones que hemos tomado.
- jokoon
Prefiero Firefox, pero ¿no tiene Firefox un historial de más exploits similares?
- no-name-here
¿Es cierto el título de HN de que afecta a "todas las versiones de Chromium"?
Según el enlace del OP, solo afecta a versiones de Chrome anteriores a la .82; la .82 se lanzó como estable hace 2 días. [1]
(El título de HN tampoco coincide con el título original, que es el ID del CVE, no particularmente intuitivo.)
[1] https://chromereleases.googleblog.com/2026/09/stable-channel...
- ruuda
> Type confusion en V8
Afortunadamente deshabilité JS por defecto. Desafortunadamente, rompe alrededor del 30% de la web. Incluyendo nvd.nist.gov, que muestra una página completamente en blanco sin JS habilitado, aunque con JS es solo una página simple con contenido estático.
- throwatdem12311
Estoy tan cansado. Creo que simplemente voy a conseguir un trabajo como basurero y cancelar mi internet.
- Cider9986
Brave está superando a GrapheneOS en la rapidez de actualizaciones:
https://github.com/GrapheneOS/Vanadium/releases
https://github.com/brave/brave-browser/releases
Solo si usas Nightly, quizás no.
- claiir
¿No son todas las grandes vulnerabilidades de Chrome type confusion?
- neuroticnews25
Supongo que ahora es trivial para los atacantes que un LLM analice cada nuevo commit en el repositorio de Chromium que enlace a un issue que esté 403 por razones de seguridad, pero quizás me estoy perdiendo algo.
- throwaway27448
¡Claro que sí! Veamos algunas filtraciones reales.