CVE-2026-85045
CVSS 7.5 HIGH: race condition in V8 in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. EPSS 0.3% (20º percentile). Patch Microsoft: Release Notes.
Vulnerabilità · 7 ore fa
XBOW ha costruito in sei giorni una full-chain Chrome a tre bug che porta a code execution su Windows. Google ha confermato le falle, le ha corrette e ha pagato il premio massimo da 250.000 dollari. Il dato che conta non è solo la riuscita della catena, ma la velocità con cui un team piccolo è arrivato da bug sconosciuti a un exploit completo.
Chrome isola le pagine web in più sandbox. La catena ha dovuto attraversarle una per una, fino a uscire dal browser e arrivare al sistema operativo. XBOW dice di aver usato un modello OpenAI pubblico per cercare nel source, testare idee e scrivere i primi proof of concept; gli umani hanno scelto i bersagli e collegato i pezzi. Il risultato è una riduzione netta del tempo e del costo per arrivare a un browser zero-day ad alto impatto.
Per chi usa Chrome come prima barriera contro il web, il segnale è chiaro: la finestra tra scoperta e arma si sta accorciando. Google ha corretto i bug in Chrome 152.0.7977.82, ma la fix vale solo dopo il riavvio del browser; dove il restart è debole, l’esposizione resta aperta più a lungo del previsto.
CVSS 7.5 HIGH: race condition in V8 in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. EPSS 0.3% (20º percentile). Patch Microsoft: Release Notes.
1 fonte che coprono questa storia
Researchers Used a Public OpenAI Model to Build a $250,000 Chrome Full-Chain Exploit in Six Days
XBOW built an AI-assisted, three-bug Chrome exploit chain in six days that enabled Windows code execution; Google has fixed all three bugs.
Part of the PlainSec briefing for 2026-10-14