Chrome V8 zero-day: CISA KEV-deadline is vandaag

Een Chrome-kwetsbaarheid die aanvallers al actief misbruikten, bereikt vandaag zijn federale patchdeadline. CVE-2026-87491, een out-of-bounds write in de V8 JavaScript- en WebAssembly-engine van Chrome, stelt een aanvaller in staat om code binnen de browsersandbox uit te voeren wanneer een slachtoffer een speciaal vervaardigde webpagina opent. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) voegde het lek op 9 september 2026 toe aan de catalogus Known Exploited Vulnerabilities en stelde 23 september als deadline waarop federale civiele instanties het moeten verhelpen.

Wat dit lek urgent maakte

Google meldde dat het op de hoogte was van een exploit voor CVE-2026-87491 die in het wild circuleerde, hoewel het bedrijf niet heeft toegelicht wie er achter de activiteit zit. Volgens afzonderlijke berichtgeving wordt het lek gekoppeld aan een Windows-bug voor rechtenverhoging om uit de browsersandbox te ontsnappen en volledige code-uitvoering op de host te verkrijgen; een deel van de activiteit wordt bovendien in verband gebracht met spearphishingcampagnes. Het lek heeft een CVSS-score van 8,8 en werd gemeld door een externe onderzoeker die voor de vondst een bugbounty ontving.

Waar de fix zit

Google leverde de fix in Chrome 153.0.8010.36 voor Linux en 153.0.8010.36/.37 voor Windows en macOS, als onderdeel van een release in het stabiele kanaal op 8 september die in totaal 230 beveiligingsfixes bevatte. Omdat het lek in de open-source Chromium V8-engine zit en niet in Chrome-specifieke code, moest elke op Chromium gebaseerde browser een eigen release uitbrengen om de fix over te nemen. Microsoft Edge, Brave, Opera en Vivaldi leveren de fix elk met hun eigen versienummers en schema's, dus een inventarisatie die alleen naar Chrome kijkt, mist kwetsbare endpoints.

Wat MSP's en IT-teams nu moeten controleren

• Controleer of beheerde Chrome-vloten op 153.0.8010.36 of later draaien, en niet alleen gepland staan om bij te werken.
• Controleer Edge-Chromium en andere op Chromium gebaseerde browsers afzonderlijk — koppel CVE-2026-87491 aan de build van de leverancier die de upstream V8-fix bevat.
• Controleer of enterprise-update-ringen daadwerkelijk zijn voltooid in plaats van te vertrouwen op een beleidsinstelling.
• Leg patchattestatie vast met een eigenaar en bewijsmateriaal, aangezien de deadline van CISA weliswaar voor federale instanties geldt, maar de praktische lat legt die de meeste zakelijke afnemers verwachten.

De federale deadline is een compliance-marker, geen universeel eindpunt — maar een actief misbruikte sandbox-escape-keten in een browser-engine die overal wordt gebruikt, moet als urgent worden behandeld, ongeacht wie formeel aan CISA moet rapporteren.

Bronnen: Chrome Releases blog, The Hacker News, CISA KEV-catalogus.