Hoy vence el plazo de CISA KEV para el zero-day de Chrome V8

Una vulnerabilidad de Chrome que los atacantes ya estaban explotando alcanza hoy su plazo federal de parcheo. CVE-2026-87491, una escritura fuera de límites en el motor JavaScript y WebAssembly V8 de Chrome, permite a un atacante ejecutar código dentro del sandbox del navegador cuando la víctima abre una página web manipulada. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. la añadió a su catálogo de Vulnerabilidades Conocidas Explotadas el 9 de septiembre de 2026 y fijó el 23 de septiembre como plazo para que las agencias civiles federales la remedien.

Por qué resultó urgente

Google indicó que era consciente de un exploit para CVE-2026-87491 circulando en la naturaleza, aunque no ha detallado quién está detrás de la actividad. Informes independientes describen que la vulnerabilidad se encadenaba con un fallo de escalada de privilegios en Windows para escapar del sandbox del navegador y obtener ejecución completa de código en el host, y vinculan parte de la actividad a campañas de spear-phishing. El fallo tiene una puntuación CVSS de 8,8 y fue reportado por un investigador externo que recibió una recompensa por el hallazgo.

Dónde se encuentra la corrección

Google publicó la corrección en Chrome 153.0.8010.36 para Linux y 153.0.8010.36/.37 para Windows y macOS, como parte de una versión del canal estable el 8 de septiembre que incluía en total 230 correcciones de seguridad. Como el fallo reside en el motor V8 de Chromium de código abierto y no en código específico de Chrome, todos los navegadores basados en Chromium necesitaron su propia versión para incorporar la corrección. Microsoft Edge, Brave, Opera y Vivaldi la incluyen cada uno con sus propios números de versión y calendarios, por lo que un inventario solo de Chrome pasará por alto puntos expuestos.

Qué deben comprobar ahora los MSP y equipos de TI

• Confirmar que las flotas gestionadas de Chrome están en la versión 153.0.8010.36 o superior, no solo programadas para actualizarse.
• Comprobar Edge-Chromium y otros navegadores basados en Chromium por separado: mapear CVE-2026-87491 a la compilación del proveedor que incluye la corrección de V8 upstream.
• Verificar que los anillos de actualización empresarial realmente se completaron en lugar de confiar solo en una configuración de directiva.
• Registrar la atestación de parches con un responsable y evidencias, ya que el plazo de CISA se aplica a las agencias federales pero marca el estándar práctico que esperan la mayoría de compradores empresariales.

El plazo federal es un marcador de cumplimiento, no un corte universal, pero una cadena de escape de sandbox activamente explotada en un motor de navegador usado en todas partes merece tratarse como urgente independientemente de quién deba técnicamente un informe a CISA.

Fuentes: Chrome Releases blog, The Hacker News, CISA KEV catalog.