L'échéance CISA KEV pour le zero-day V8 de Chrome tombe aujourd'hui

Une vulnérabilité de Chrome que des attaquants exploitaient déjà atteint aujourd'hui son échéance fédérale de correction. CVE-2026-87491, une écriture hors limites dans le moteur JavaScript et WebAssembly V8 de Chrome, permet à un attaquant d'exécuter du code dans le bac à sable du navigateur lorsqu'une victime ouvre une page web piégée. L'Agence américaine de cybersécurité et de sécurité des infrastructures l'a ajoutée à son catalogue des vulnérabilités connues et exploitées le 9 septembre 2026 et a fixé au 23 septembre l'échéance pour que les agences civiles fédérales la corrigent.

Pourquoi celle-ci était urgente

Google a indiqué avoir connaissance d'un exploit pour CVE-2026-87491 circulant dans la nature, sans toutefois préciser qui est à l'origine de cette activité. Des rapports distincts décrivent la faille enchaînée à un bug d'élévation de privilèges Windows pour sortir du bac à sable du navigateur et obtenir une exécution de code complète sur l'hôte, et relient une partie de l'activité à des campagnes de harponnage. Le bug affiche un score CVSS de 8,8 et a été signalé par un chercheur externe qui a reçu une prime de bug pour sa découverte.

Où se trouve le correctif

Google a livré le correctif dans Chrome 153.0.8010.36 pour Linux, et 153.0.8010.36/.37 pour Windows et macOS, dans le cadre d'une version du canal stable publiée le 8 septembre et contenant 230 correctifs de sécurité au total. Comme la faille se situe dans le moteur V8 open source de Chromium plutôt que dans du code spécifique à Chrome, chaque navigateur basé sur Chromium a dû publier sa propre version pour intégrer le correctif. Microsoft Edge, Brave, Opera et Vivaldi le livrent chacun selon leurs propres numéros de version et calendriers, de sorte qu'un inventaire limité à Chrome laissera passer des terminaux exposés.

Ce que les MSP et les équipes informatiques doivent vérifier maintenant

• Confirmer que les parcs Chrome gérés sont en version 153.0.8010.36 ou ultérieure, et pas seulement programmés pour se mettre à jour.
• Vérifier séparément Edge-Chromium et les autres navigateurs basés sur Chromium — faire correspondre CVE-2026-87491 à la version de l'éditeur qui intègre le correctif V8 amont.
• Vérifier que les anneaux de mise à jour d'entreprise se sont réellement terminés plutôt que de se fier à un paramètre de stratégie.
• Consigner l'attestation de correctif avec un responsable et des preuves, car l'échéance de la CISA s'applique aux agences fédérales mais fixe la barre pratique attendue par la plupart des acheteurs d'entreprise.

L'échéance fédérale est un marqueur de conformité, pas une date limite universelle — mais une chaîne d'évasion de bac à sable activement exploitée dans un moteur de navigateur utilisé partout mérite d'être traitée comme urgente, peu importe qui doit techniquement un rapport à la CISA.

Sources : Chrome Releases blog, The Hacker News, CISA KEV catalog.