CVE-2026-85046 PoC

• コミット: v8 b74028b5（脆弱性ツリー = 修正 e0562d87 の親コミット）

• 修正パッチ: https://github.com/v8/v8/commit/e0562d87ad9c17042b581582c99237d798572e67

• エンジン: V8（脆弱性ツリー = 修正 e0562d87 の親コミット b74028b5）

• 根本原因: Maglev/TurboFan が Array.prototype.sort をインライン化する際、「結合された要素種別」に基づいてスナップショットをコピーして戻す。comparator 内の fill(0) が種別を SMI に絞り込み、オブジェクトポインタが Smi 配列に書き込まれる（2026-09 に実環境で悪用、BlueMoon kit）

• 実行: ./d8 poc/min.js（フラグ不要、ヒープオフセットを出力すれば難読化）; addrof_check.js には --allow-natives-syntax が必要

ファイル

• poc/addrof.js
• poc/addrof_check.js
• poc/exp2_stage.js
• poc/min.js
• poc/regress.js