Scade oggi il termine CISA KEV per la zero-day di Chrome V8

Una vulnerabilità di Chrome che gli aggressori stavano già sfruttando raggiunge oggi la scadenza federale per l'applicazione delle patch. CVE-2026-87491, una scrittura fuori dai limiti nel motore JavaScript e WebAssembly V8 di Chrome, consente a un aggressore di eseguire codice all'interno della sandbox del browser quando la vittima apre una pagina web predisposta. La Cybersecurity and Infrastructure Security Agency degli Stati Uniti l'ha aggiunta al suo catalogo Known Exploited Vulnerabilities il 9 settembre 2026 e ha fissato il 23 settembre come termine entro il quale le agenzie civili federali devono porvi rimedio.

Cosa ha reso urgente questa falla

Google ha dichiarato di essere a conoscenza di un exploit per CVE-2026-87491 in circolazione, senza però fornire dettagli su chi ci sia dietro l'attività. Rapporti separati descrivono la falla come concatenata a un bug di escalation dei privilegi di Windows per uscire dalla sandbox del browser e ottenere la piena esecuzione di codice sull'host, e collegano parte dell'attività a campagne di spear-phishing. Il bug ha un punteggio CVSS di 8,8 ed è stato segnalato da un ricercatore esterno che ha ricevuto una bug bounty per la scoperta.

Dove si trova la correzione

Google ha distribuito la correzione in Chrome 153.0.8010.36 per Linux e 153.0.8010.36/.37 per Windows e macOS, nell'ambito di un rilascio del canale stabile dell'8 settembre che conteneva in totale 230 correzioni di sicurezza. Poiché la falla risiede nel motore V8 open source di Chromium e non nel codice specifico di Chrome, ogni browser basato su Chromium ha dovuto pubblicare una propria release per recepire la correzione. Microsoft Edge, Brave, Opera e Vivaldi la distribuiscono con i propri numeri di versione e calendari, quindi un inventario limitato a Chrome non rileverà gli endpoint esposti.

Cosa dovrebbero controllare ora MSP e team IT

• Verificare che le flotte Chrome gestite siano alla versione 153.0.8010.36 o successiva, non solo che l'aggiornamento sia pianificato.
• Controllare separatamente Edge-Chromium e gli altri browser basati su Chromium: mappare CVE-2026-87491 alla build del fornitore che include la correzione upstream di V8.
• Verificare che i gruppi di aggiornamento aziendali siano stati effettivamente completati, invece di fidarsi di un'impostazione di policy.
• Registrare l'attestazione delle patch con un responsabile e relative evidenze, poiché la scadenza CISA si applica alle agenzie federali ma stabilisce di fatto il livello pratico che la maggior parte degli acquirenti aziendali si aspetta.

La scadenza federale è un indicatore di conformità, non un limite universale, ma una catena di escape dalla sandbox sfruttata attivamente in un motore browser usato ovunque merita di essere trattata come urgente, indipendentemente da chi tecnicamente debba presentare un rapporto a CISA.

Fonti: Chrome Releases blog, The Hacker News, CISA KEV catalog.