Prazo da CISA KEV para zero-day do V8 do Chrome termina hoje

Uma vulnerabilidade do Chrome que os atacantes já estavam a explorar atinge hoje o prazo federal de correção. A CVE-2026-87491, uma escrita fora dos limites no motor V8 de JavaScript e WebAssembly do Chrome, permite que um atacante execute código dentro da sandbox do navegador quando a vítima abre uma página web criada para o efeito. A Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA) adicionou-a ao catálogo de Vulnerabilidades Conhecidas e Exploradas a 9 de setembro de 2026 e fixou 23 de setembro como prazo para as agências civis federais a remediarem.

O que tornou esta falha urgente

A Google afirmou ter conhecimento de um exploit para a CVE-2026-87491 a circular ativamente, embora não tenha detalhado quem está por trás da atividade. Relatos separados descrevem a falha a ser encadeada com uma vulnerabilidade de escalada de privilégios no Windows para escapar à sandbox do navegador e obter execução total de código no anfitrião, e associam parte da atividade a campanhas de spear-phishing. A vulnerabilidade tem uma pontuação CVSS de 8,8 e foi comunicada por um investigador externo que recebeu uma recompensa por bugs pela descoberta.

Onde se encontra a correção

A Google disponibilizou a correção no Chrome 153.0.8010.36 para Linux e 153.0.8010.36/.37 para Windows e macOS, numa versão do canal estável lançada a 8 de setembro que incluiu 230 correções de segurança no total. Como a falha reside no motor V8 de código aberto do Chromium e não em código específico do Chrome, cada navegador baseado no Chromium precisou da sua própria versão para receber a correção. O Microsoft Edge, o Brave, o Opera e o Vivaldi disponibilizam-na nos seus próprios números de versão e calendários, pelo que um inventário centrado apenas no Chrome deixará escapar terminais expostos.

O que os MSPs e as equipas de TI devem verificar agora

• Confirmar que as frotas geridas de Chrome estão na versão 153.0.8010.36 ou posterior, e não apenas com a atualização agendada.
• Verificar em separado o Edge baseado no Chromium e outros navegadores baseados no Chromium — associar a CVE-2026-87491 à compilação do fornecedor que inclui a correção de origem do V8.
• Verificar se os anéis de atualização empresariais foram efetivamente concluídos, em vez de confiar numa definição de política.
• Registar a confirmação da correção com um responsável e evidências, uma vez que o prazo da CISA se aplica a agências federais, mas define o patamar prático que a maioria dos compradores empresariais espera.

O prazo federal é um marcador de conformidade e não um limite universal — mas uma cadeia de fuga à sandbox ativamente explorada num motor de navegador usado em todo o lado merece ser tratada como urgente, independentemente de quem tecnicamente deve um relatório à CISA.

Fontes: Chrome Releases blog, The Hacker News, catálogo CISA KEV.