Roya Newsثغرة “صفر يوم” تهدد مستخدمي كروم.. جوجل تحذر من استغلالها في هجمات
حدّثت شركة غوغل متصفح كروم لمعالجة ثغرة أمنية عالية الخطورة من نوع «صفر يوم» في محرك V8، بعدما أكدت استغلالها في هجمات، إلى جانب إصلاح 11 ثغرة أمنية أخرى. وتحمل الثغرة المستغلة رقم CVE-2026-85046، وصُنفت ضمن ثغرات “خلط الأنواع” (Type Confusion). وأبلغ الباحث الأمني سالفاتوري غوليزيا، المعروف عبر الإنترنت باسم “Serotav”، غوغل بالثغرة. ويرفع التحديث إصدار كروم إلى 152.0.7977.82/.83 على نظامَي “ويندوز” وماك أو إس، وإلى الإصدار 152.0.7977.82 على “ليونكس”، ضمن عملية طرح تدريجية. وقالت غوغل في نشرتها الأمنية إنها على علم بوجود استغلال للثغرة CVE-2026-85046 “في البرية”. ولم تكشف الشركة تفاصيل تقنية أو معلومات محددة عن أساليب استغلال الثغرة، لإتاحة الوقت أمام المستخدمين والمشروعات التي تعتمد على كروم لتطبيق الإصلاح. وتحدث ثغرات خلط الأنواع عندما يفسر البرنامج نوعاً من الكائنات البرمجية على أنه نوع آخر، وهو ما يمكن أن يسمح للمهاجمين بإفساد الذاكرة. ويُعد V8 محرك “JavaScript” و”WebAssembly” مفتوح المصدر في كروم، ويتولى ترجمة وتنفيذ الشيفرات التي تستخدمها مواقع الإنترنت. ولذلك، يمكن نظرياً تشغيل الثغرة CVE-2026-85046 عبر صفحة HTML مصممة خصيصاً وتحتوي على شيفرة JavaScript خبيثة، بما قد يتيح تنفيذ شيفرة عن بُعد داخل عملية العرض المعزولة في كروم. وشمل التحديث أيضاً إصلاح تسع ثغرات أخرى عالية الخطورة، بينها ثغرات من نوع “استخدام بعد التحرير” (Use-after-free) وثغرات وصول خارج حدود الذاكرة، في مكونات تشمل Crash Reporting وNetwork وCompositing وWebGL وCacheStorage وDevTools وSkia، إضافة إلى حالة سباق في محرك V8. وتُعد CVE-2026-85046 سادس ثغرة مستغلة بنشاط تصلحها غوغل في كروم منذ بداية العام. وشملت الثغرات السابقة ثغرة قراءة وكتابة خارج حدود الذاكرة في محرك V8 حملت الرقم CVE-2026-11645، واستُغلت في هجمات قبل إصلاحها في يونيو. وفي فبراير، أصلحت غوغل ثغرة إبطال مكرر (Iterator Invalidation) حملت الرقم CVE-2026-2441 في CSSFontFeatureValuesMap، وهي ثغرة مرتبطة بطريقة معالجة كروم لخصائص الخطوط. وفي مارس، أصلحت الشركة ثغرتين استُغلتا في هجمات، هما ثغرة كتابة خارج حدود الذاكرة في مكتبة الرسوميات ثنائية الأبعاد Skia حملت الرقم CVE-2026-3909، وثغرة تتعلق بالتنفيذ غير الملائم في محرك V8 لـJavaScript وWebAssembly حملت الرقم CVE-2026-3910. وفي إبريل، عالجت غوغل ثغرة “استخدام بعد التحرير” في Dawn، حملت الرقم CVE-2026-5281، وهو التطبيق متعدد المنصات لمعيار WebGPU المستخدم في “كروميوم”. وتوصي غوغل مستخدمي كروم بتثبيت التحديث المتاح فور وصوله إليهم، من خلال الانتقال إلى “الإعدادات” ثم “حول كروم”، والانتظار حتى يتم تنزيل التحديث وتثبيته. وبعد اكتمال عملية التحديث، يتعين إعادة تشغيل المتصفح لتطبيق الإصلاحات. كما توصي مستخدمي المتصفحات المعتمدة على كروم، بما فيها “مايكروسوفت إيدج” و”Brave” و”أوبرا” و”Vivaldi”، باتخاذ الإجراء نفسه، مع احتمال وصول الإصلاحات إلى هذه التطبيقات بعد يومين إضافيين.
