O Google corrigiu 12 vulnerabilidades do Chrome em 3 de setembro, incluindo CVE-2026-85046, uma vulnerabilidade de confusão de tipo no V8 que foi explorada, a sexta vulnerabilidade deste ano. Oito dias depois, a Lei de Resiliência Cibernética começou a exigir que os fabricantes relatassem vulnerabilidades exploradas ativamente dentro de 24 horas após a descoberta.
O Google corrigiu 12 vulnerabilidades no Chrome em 3 de setembro, a maioria das quais de alta gravidade. Um deles tem sido usado em ataques, Relatório de radar tecnológico.
O bug é CVE-2026-85046, uma falha de confusão de tipo no mecanismo JavaScript V8 do Chrome. Possui uma pontuação CVSS de 8,8, permitindo que invasores remotos executem código em uma sandbox por meio de uma página da web criada.
As versões corrigidas são 152.0.7977.82 e 0.83. do Google Notas de versão Existem supostas vulnerabilidades e a empresa está retendo detalhes até que a maioria dos navegadores seja corrigida.
Esta é a sexta vulnerabilidade de dia zero do Chrome a ser explorada ativamente este ano. Todo navegador Chromium herda a falha, então Edge, Brave, Opera e Vivaldi exigem a mesma atualização, e a implementação é gradual e não imediata.
Salvatore Gulizia relatou o bug em 4 de agosto e recebeu US$ 1.000. Planos pagos do Chrome Até US$ 250.000.
O Google ainda não explicou o número. Os níveis de recompensa dependem da qualidade do relatório e se alguém descobriu o mesmo bug primeiro, sobre o qual a empresa nada disse.
O tempo torna este patch mais valioso do que o número da versão.
Oito dias após o envio, as regras mudam para quem vende software para a Europa. O Chrome é um produto com elemento digital.
esse Lei de Resiliência Cibernética começou a cumprir suas obrigações de comunicação em 11 de setembro. Os fabricantes devem relatar vulnerabilidades exploradas ativamente e incidentes críticos.
Os alertas antecipados devem ser emitidos dentro de 24 horas após a descoberta. Assim que as medidas corretivas forem tomadas, forneceremos uma notificação completa em 72 horas e um relatório final em 14 dias.
Os relatórios são enviados através de uma plataforma única às equipas de resposta relevantes do país e simultaneamente à ENISA, que depois transmite os relatórios a todos os países onde o produto é vendido. A TNW estudou o impacto do relógio de 24 horas na cadeia de fornecimento de software.
O relógio começa com o conhecimento de uma exploração, não com um relatório de bug. O Google sabia disso até 3 de setembro, porque o disse publicamente.
Este patch não viola nenhuma regra porque as regras ainda não estão em vigor. A partir da próxima semana, a mesma sequência se tornará um documento de uma empresa que assinou recentemente uma carta pedindo que a defesa cibernética seja considerada uma prioridade de liderança.
