Chromium 所有版本遭 V8 漏洞利用
Actively exploited sandbox RCE in all Chromium versions
Google Chrome 内核 V8 引擎中爆发高危类型混淆漏洞 CVE-2026-85046，攻击者仅需通过精心构造的 HTML 页面，即可在沙箱内执行任意代码。该漏洞影响 152.0.7977.82 之前的所有 Chromium 版本，已被 CISA 列入已知被利用漏洞目录。由于漏洞利用门槛低且危害极大，CISA 已发布强制指令，要求相关机构在 2026 年 9 月 18 日前完成修复或采取缓解措施。这一事件再次凸显了浏览器内核安全对互联网基础设施的关键影响，所有用户需立即更新浏览器以规避风险。
V8 引擎中的类型混淆漏洞允许远程攻击者通过精心构造的 HTML 页面，在沙箱内执行任意代码。
HN 评论区
434- david_shaw
咱们花点时间聊聊这个漏洞的 monetary value（经济价值）。
根据 Chrome 发布页面（https://chromereleases.googleblog.com/2026/09/stable-channel...），Google 为研究人员道德性地报告此漏洞支付了 1000 美元。
与之关联的 CVE（CVE-2026-85046）已经在野外被利用。如果我们开动脑筋想一想，你觉得这个漏洞实际上值多少钱？你觉得像 Google 这样的组织，在漏洞被发现并遭到野外利用之前，愿意花多少钱在 AI tokens 或算力上进行内部检测？
道德披露是一个复杂的话题，因为研究人员不应该勒索漏洞或索要高额报酬。但与此同时，如果有人提交了像这样严重的问题，按漏洞的实际价值支付报酬是合情合理的。为什么研究人员因为负责任地告知厂商而不是将漏洞卖给“研究机构”或“三字母机构”（指 CIA、FBI 等）而受到变相惩罚呢？
如果你是开源项目维护者，只想把东西发布给社区，那是一回事。但如果你是 Google，这笔账的算法就大不相同了。
- odyssey7
真的很遗憾，我的工程学院强制要求使用 Google Chrome，因为他们的 Honorlock 浏览器扩展 [1] 需要 Chrome 才能运行。
你可能会觉得，工程学院应该更明智一些，不会强制学生使用绑定特定厂商的特定网页浏览器。
- publlus_enigma
将运行通过互联网交付的任意代码（以 JavaScript 和 WASM 的形式）作为访问大多数网页的必要条件，这或许并不是我们做出的最佳决策之一。
- ruuda
> V8 中的类型混淆漏洞
幸好我默认禁用了 JS。不幸的是，这导致大约 30% 的网页无法使用。其中包括 nvd.nist.gov，即使该页面在启用 JS 时只是一个只有静态内容的简单页面，但在禁用 JS 的情况下却显示为完全空白。
- no-name-here
HN 的标题是真的吗？说它影响了“所有 Chromium 版本”？
根据 OP 的链接，它只影响 .82 之前的 Chrome 版本；.82 版本在 2 天前已作为稳定版发布。[1]
（HN 标题也与原标题不符，原标题是 CVE ID —— 这并不直观。）
[1] https://chromereleases.googleblog.com/2026/09/stable-channel...
- jokoon
我更喜欢 Firefox，但 Firefox 难道没有更多类似的漏洞利用历史吗？
- throwatdem12311
我太累了。我想我干脆去找个垃圾清运工的工作，然后取消我的互联网服务算了。
- Cider9986
Brave 在更新及时性上已经超过了 GrapheneOS：
https://github.com/GrapheneOS/Vanadium/releases
https://github.com/brave/brave-browser/releases
除非你使用的是 Nightly 版本，那可能就不一定了。
- claiir
难道所有重大的 Chrome 漏洞都是类型混淆问题吗？
- neuroticnews25
我猜现在攻击者利用 LLM 分析 Chromium 仓库中的每一个新提交，并链接到因安全原因返回 403 的 issue，已经变得轻而易举了，不过也许我漏掉了什么。