Termenul limită CISA KEV pentru zero-day-ul Chrome V8 expiră astăzi

O vulnerabilitate Chrome pe care atacatorii o exploatau deja își atinge termenul limită federal de patching astăzi. CVE-2026-87491, o scriere out-of-bounds în motorul JavaScript și WebAssembly V8 al Chrome, permite unui atacator să execute cod în sandbox-ul browserului atunci când o victimă deschide o pagină web creată special. Agenția de Securitate Cibernetică și Infrastructură a SUA a adăugat-o în catalogul său Known Exploited Vulnerabilities pe 9 septembrie 2026 și a stabilit 23 septembrie ca termen limită pentru agențiile civile federale să o remediaze.

Ce a făcut această vulnerabilitate urgentă

Google a declarat că era conștient de un exploit pentru CVE-2026-87491 care circula în sălbăticie, deși nu a detaliat cine se află în spatele activității. Raportări separate descriu vulnerabilitatea fiind înlănțuită cu o eroare de escaladare a privilegiilor Windows pentru a scăpa din sandbox-ul browserului și a obține execuție completă de cod pe gazdă, și leagă o parte din activitate de campanii de spear-phishing. Bug-ul are un scor CVSS de 8.8 și a fost raportat de un cercetător extern care a primit o recompensă bug bounty pentru descoperire.

Unde se află remedierea

Google a livrat remedierea în Chrome 153.0.8010.36 pentru Linux și 153.0.8010.36/.37 pentru Windows și macOS, ca parte a unei lansări pe canalul stable pe 8 septembrie care a inclus în total 230 de remedieri de securitate. Deoarece vulnerabilitatea se află în motorul open-source Chromium V8, nu în codul specific Chrome, fiecare browser bazat pe Chromium a avut nevoie de propria lansare pentru a prelua remedierea. Microsoft Edge, Brave, Opera și Vivaldi o livrează fiecare pe propriile numere de versiune și calendare, deci un inventar doar pentru Chrome va rata endpoint-uri expuse.

Ce ar trebui să verifice acum MSP-urile și echipele IT

• Confirmați că flotele Chrome gestionate rulează pe 153.0.8010.36 sau mai nou, nu doar programate pentru actualizare.
• Verificați separat Edge-Chromium și alte browsere bazate pe Chromium — mapați CVE-2026-87491 la build-ul vendor care include remedierea V8 upstream.
• Verificați că inelele de actualizare enterprise s-au finalizat efectiv, nu doar că au o setare de politică.
• Înregistrați atestarea patch-urilor cu un responsabil și dovezi, deoarece termenul limită CISA se aplică agențiilor federale, dar stabilește bara practică pe care o așteaptă majoritatea cumpărătorilor enterprise.

Termenul limită federal este un marker de conformitate, nu un cutoff universal — dar un lanț activ exploatat de tip sandbox-escape într-un motor de browser folosit peste tot merită tratat ca urgent, indiferent cine datorează tehnic un raport CISA.

Surse: Chrome Releases blog, The Hacker News, CISA KEV catalog.