Dziś mija termin CISA KEV dla zero-day w Chrome V8

Termin naprawczy CISA dla wykorzystywanej luki w Chrome V8, CVE-2026-87491, mija dzisiaj. Chrome 153 ją naprawia; MSP powinni potwierdzić, że zarządzane przeglądarki są zaktualizowane.

W tym artykule

Dlaczego ta luka była pilna
Gdzie znajduje się poprawka
Co powinni teraz sprawdzić MSP i zespoły IT

Luka w Chrome, którą napastnicy już wykorzystywali, osiąga dziś federalny termin łatania. CVE-2026-87491, zapis poza granicami w silniku V8 JavaScript i WebAssembly przeglądarki Chrome, umożliwia atakującemu uruchomienie kodu w piaskownicy przeglądarki, gdy ofiara otworzy spreparowaną stronę internetową. Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury dodała ją do katalogu znanych wykorzystywanych luk 9 września 2026 r. i wyznaczyła 23 września 2026 r. jako termin usunięcia jej przez federalne agencje cywilne.

Laptop na czerwonym biurku wyświetla okno przeglądarki, a po prawej stronie widać nieostrą postać. — Zdjęcie: Sebastiaan ter Burg from Utrecht, The Netherlands (CC BY-SA 2.0), Wikimedia Commons.

Dlaczego ta luka była pilna

Google poinformowało, że wiedziało o exploicie dla CVE-2026-87491 krążącym w sieci, choć nie ujawniło, kto stoi za tą działalnością. Osobne doniesienia opisują łączenie tej luki z błędem eskalacji uprawnień w systemie Windows w celu ucieczki z piaskownicy przeglądarki i uzyskania pełnego wykonania kodu na hoście, a część aktywności wiążą z kampaniami spear-phishingowymi. Luka ma ocenę CVSS 8,8 i została zgłoszona przez zewnętrznego badacza, który za odkrycie otrzymał nagrodę bug bounty.

Gdzie znajduje się poprawka

Google dostarczyło poprawkę w Chrome 153.0.8010.36 dla systemu Linux oraz 153.0.8010.36/.37 dla Windows i macOS w ramach wydania na kanale stabilnym z 8 września, które zawierało łącznie 230 poprawek bezpieczeństwa. Ponieważ luka znajduje się w silniku open-source V8 Chromium, a nie w kodzie specyficznym dla Chrome, każda przeglądarka oparta na Chromium potrzebowała własnego wydania, aby pobrać poprawkę. Microsoft Edge, Brave, Opera i Vivaldi dostarczają ją w swoich własnych numerach wersji i harmonogramach, więc inwentaryzacja obejmująca wyłącznie Chrome pominie narażone punkty końcowe.

Co powinni teraz sprawdzić MSP i zespoły IT

Potwierdź, że zarządzane floty Chrome mają wersję 153.0.8010.36 lub nowszą, a nie tylko zaplanowaną aktualizację.
Sprawdź osobno Edge-Chromium i inne przeglądarki oparte na Chromium — przypisz CVE-2026-87491 do kompilacji dostawcy, która zawiera poprawkę V8 z upstreamu.
Zweryfikuj, czy firmowe pierścienie aktualizacji rzeczywiście się zakończyły, zamiast ufać ustawieniu zasad.
Zapisz poświadczenie poprawki z właścicielem i dowodami, ponieważ termin CISA dotyczy agencji federalnych, ale wyznacza praktyczny próg, którego oczekuje większość nabywców korporacyjnych.

Federalny termin jest wyznacznikiem zgodności, a nie uniwersalnym punktem odcięcia — ale aktywnie wykorzystywany łańcuch ucieczki z piaskownicy w silniku przeglądarki używanym wszędzie warto traktować jako pilny niezależnie od tego, kto formalnie musi złożyć raport CISA.

Źródła: Chrome Releases blog, The Hacker News, katalog CISA KEV.