Google Chrome Kembali Dihantam Zero-Day yang Dieksploitasi dalam Serangan

Google kembali memperingatkan pengguna Chrome mengenai zero-day vulnerability yang saat ini telah dieksploitasi dalam serangan di dunia nyata. Celah keamanan tersebut ditemukan pada V8, engine JavaScript dan WebAssembly yang menjadi bagian penting dari Chromium.

Celah yang dilacak sebagai CVE-2026-85046 memiliki tingkat keparahan tinggi dan dikategorikan sebagai type confusion. Google telah merilis pembaruan Chrome untuk mengatasi celah tersebut bersama sejumlah kerentanan keamanan lainnya.

CVE-2026-85046 Sudah Dieksploitasi

Google mengonfirmasi bahwa exploit untuk CVE-2026-85046 telah beredar dan digunakan dalam serangan.

“Google is aware that an exploit for CVE-2026-85046 exists in the wild.”

Celah tersebut dilaporkan kepada Google oleh peneliti keamanan Salvatore Gulizia, yang juga dikenal dengan nama “Serotav”.

Google belum mengungkap detail teknis mengenai mekanisme eksploitasi CVE-2026-85046. Langkah ini dilakukan untuk memberikan waktu kepada pengguna serta proyek lain yang bergantung pada Chromium untuk memasang pembaruan keamanan sebelum informasi teknis yang lebih lengkap tersedia.

Celah Type Confusion pada V8

CVE-2026-85046 merupakan type confusion vulnerability, yaitu jenis kelemahan yang terjadi ketika software salah memperlakukan suatu objek sebagai tipe data lain.

Dalam kondisi tertentu, kesalahan tersebut dapat menyebabkan memory corruption dan berpotensi dimanfaatkan untuk menjalankan kode berbahaya.

V8 sendiri merupakan engine open-source yang digunakan Chrome untuk mengompilasi dan menjalankan JavaScript serta WebAssembly dari halaman web.

Karena itu, skenario serangan secara teoritis dapat melibatkan halaman HTML yang telah dimodifikasi secara khusus dan berisi JavaScript berbahaya. Jika berhasil dieksploitasi, penyerang berpotensi menjalankan kode pada proses renderer Chrome yang telah dibatasi oleh sandbox.

Detail mengenai apakah skenario tersebut merupakan metode eksploitasi yang digunakan dalam serangan aktif saat ini belum diungkapkan Google.

Chrome 152.0.7977.82/.83 Membawa Perbaikan

Google merilis Chrome versi:

• Windows: 152.0.7977.82/.83
• macOS: 152.0.7977.82/.83
• Linux: 152.0.7977.82

Pembaruan tersebut digulirkan secara bertahap sehingga tidak semua pengguna akan langsung mendapatkan versi terbaru pada waktu yang sama.

Selain CVE-2026-85046, pembaruan ini juga memperbaiki sejumlah kerentanan keamanan lain. Google menyebut terdapat sembilan kerentanan berkeparahan tinggi tambahan, termasuk berbagai masalah use-after-free dan out-of-bounds memory access.

Kerentanan lainnya ditemukan pada sejumlah komponen Chrome, antara lain:

• Crash Reporting
• Network
• Compositing
• WebGL
• CacheStorage
• DevTools
• Skia
• V8

Pembaruan juga mengatasi sebuah race condition pada V8.

Menjadi Zero-Day Chrome Keenam Tahun Ini

CVE-2026-85046 menjadi zero-day Chrome keenam yang diketahui telah dieksploitasi dan diperbaiki Google sejak awal 2026.

Sebelumnya, Google telah menambal beberapa zero-day lain, termasuk CVE-2026-11645, sebuah celah out-of-bounds read/write pada V8 yang dieksploitasi di dunia nyata dan diperbaiki pada Juni.

Pada Februari, Google menambal CVE-2026-2441, yaitu kerentanan iterator invalidation pada CSSFontFeatureValuesMap, komponen Chrome yang menangani CSS font feature values.

Dua zero-day lainnya, CVE-2026-3909 dan CVE-2026-3910, dieksploitasi dalam serangan pada Maret. CVE-2026-3909 merupakan out-of-bounds write pada library grafis Skia, sedangkan CVE-2026-3910 merupakan masalah inappropriate implementation pada V8.

Kemudian pada April, Google memperbaiki CVE-2026-5281, sebuah use-after-free pada Dawn, implementasi lintas platform untuk standar WebGPU yang digunakan Chromium.

Pengguna Chrome Diminta Segera Memperbarui Browser

Karena CVE-2026-85046 sudah diketahui dieksploitasi dalam serangan, pengguna Chrome disarankan segera memasang pembaruan begitu tersedia di perangkat masing-masing.

Pengguna dapat memeriksa pembaruan dengan membuka:

Settings > About Chrome

Chrome akan memeriksa versi terbaru dan mengunduh pembaruan apabila sudah tersedia. Setelah proses selesai, browser harus direstart agar seluruh perbaikan keamanan diterapkan.

Pengguna browser berbasis Chromium lainnya seperti Microsoft Edge, Brave, Opera, dan Vivaldi juga disarankan melakukan pembaruan. Namun, distribusi patch pada browser-browser tersebut dapat membutuhkan waktu beberapa hari setelah perbaikan Chromium tersedia.

Dengan semakin seringnya zero-day Chrome dieksploitasi sebelum patch tersedia secara luas, pengguna sebaiknya tidak menunda restart browser setelah pembaruan keamanan berhasil dipasang.

Sumber: Google