Chrome-V8-Zero-Day: CISA-KEV-Frist endet heute

Eine Chrome-Schwachstelle, die Angreifer bereits aktiv ausnutzten, erreicht heute ihre Frist für das Patchen in US-Bundesbehörden. CVE-2026-87491, ein Out-of-Bounds-Write in der V8-JavaScript- und WebAssembly-Engine von Chrome, ermöglicht es einem Angreifer, innerhalb der Browser-Sandbox Code auszuführen, wenn ein Opfer eine präparierte Webseite öffnet. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) nahm die Schwachstelle am 9. September 2026 in ihren Known-Exploited-Vulnerabilities-Katalog auf und setzte den 23. September als Frist für die Behebung durch zivile Bundesbehörden fest.

Warum diese Schwachstelle dringend wurde

Google erklärte, von einem in freier Wildbahn kursierenden Exploit für CVE-2026-87491 Kenntnis zu haben, nannte jedoch keine Details zu den Akteuren hinter den Aktivitäten. Separate Berichte beschreiben, dass die Schwachstelle mit einer Windows-Lücke zur Rechteausweitung verkettet wird, um die Browser-Sandbox zu verlassen und vollständige Codeausführung auf dem Host zu erlangen; ein Teil der Aktivitäten wird mit Spear-Phishing-Kampagnen in Verbindung gebracht. Die Schwachstelle hat einen CVSS-Wert von 8,8 und wurde von einem externen Forscher gemeldet, der für den Fund eine Bug-Bounty-Prämie erhielt.

Wo der Fix zu finden ist

Google lieferte den Fix in Chrome 153.0.8010.36 für Linux sowie 153.0.8010.36/.37 für Windows und macOS, als Teil einer Veröffentlichung im stabilen Kanal am 8. September, die insgesamt 230 Sicherheitskorrekturen enthielt. Da die Schwachstelle in der Open-Source-Engine Chromium V8 und nicht in Chrome-spezifischem Code liegt, benötigte jeder Chromium-basierte Browser eine eigene Veröffentlichung, um den Fix zu übernehmen. Microsoft Edge, Brave, Opera und Vivaldi spielen ihn jeweils mit eigenen Versionsnummern und Zeitplänen aus; eine reine Chrome-Inventur übersieht daher exponierte Endpunkte.

Was MSPs und IT-Teams jetzt prüfen sollten

• Bestätigen, dass verwaltete Chrome-Flotten auf Version 153.0.8010.36 oder höher sind und nicht nur ein Update geplant ist.
• Edge-Chromium und andere Chromium-basierte Browser separat prüfen – CVE-2026-87491 der Hersteller-Version zuordnen, die den Upstream-V8-Fix enthält.
• Verifizieren, dass unternehmensweite Update-Ringe tatsächlich abgeschlossen wurden, statt sich auf eine Richtlinieneinstellung zu verlassen.
• Patch-Attestierung mit Verantwortlichem und Nachweisen dokumentieren, da die CISA-Frist zwar für Bundesbehörden gilt, aber die praktische Messlatte setzt, die die meisten Unternehmenskunden erwarten.

Die Frist der Bundesbehörden ist ein Compliance-Marker und kein universeller Stichtag – doch eine aktiv ausgenutzte Sandbox-Escape-Kette in einer überall genutzten Browser-Engine sollte unabhängig davon als dringend behandelt werden, wer technisch gesehen CISA einen Bericht schuldet.

Quellen: Chrome Releases Blog, The Hacker News, CISA-KEV-Katalog.