Chrome V8 zero-day: CISA KEV-deadline infaller idag

En Chrome-sårbarhet som angripare redan utnyttjade når idag sin federala patchdeadline. CVE-2026-87491, en out-of-bounds-skrivning i Chromes V8 JavaScript- och WebAssembly-motor, låter en angripare köra kod inuti webbläsarens sandlåda när ett offer öppnar en manipulerad webbsida. Den amerikanska cybersäkerhetsmyndigheten CISA lade till den i sin Known Exploited Vulnerabilities-katalog den 9 september 2026 och satte den 23 september som deadline för federala civila myndigheter att åtgärda den.

Vad som gjorde den här akut

Google uppgav att man kände till ett exploit för CVE-2026-87491 som cirkulerade i det vilda, men har inte specificerat vem som ligger bakom aktiviteten. Separat rapportering beskriver att sårbarheten kedjades ihop med en Windows-bugg för privilegieeskalering för att ta sig ur webbläsarens sandlåda och få full kodexekvering på värden, och kopplar en del av aktiviteten till spear-phishing-kampanjer. Buggarna har ett CVSS-poäng på 8,8 och rapporterades av en extern forskare som fick en bug bounty för upptäckten.

Var åtgärden finns

Google levererade åtgärden i Chrome 153.0.8010.36 för Linux och 153.0.8010.36/.37 för Windows och macOS, som en del av en stabil kanalrelease den 8 september som totalt innehöll 230 säkerhetsåtgärder. Eftersom sårbarheten ligger i den öppna Chromium V8-motorn snarare än i Chrome-specifik kod behövde varje Chromium-baserad webbläsare en egen release för att få åtgärden. Microsoft Edge, Brave, Opera och Vivaldi levererar den var och en med sina egna versionsnummer och scheman, så en inventering som bara omfattar Chrome kommer att missa exponerade slutpunkter.

Vad MSP:er och IT-team bör kontrollera nu

• Bekräfta att hanterade Chrome-flottor kör 153.0.8010.36 eller senare, inte bara att de är schemalagda att uppdateras.
• Kontrollera Edge-Chromium och andra Chromium-baserade webbläsare separat – mappa CVE-2026-87491 till den leverantörsbuild som innehåller uppströms V8-åtgärden.
• Verifiera att företagets uppdateringsringar faktiskt har slutförts i stället för att lita på en policyinställning.
• Dokumentera patchattestering med en ansvarig och bevis, eftersom CISA:s deadline gäller federala myndigheter men sätter den praktiska ribba som de flesta företagsköpare förväntar sig.

Den federala deadlinen är en efterlevnadsmarkör, inte en universell gräns – men en aktivt utnyttjad sandlådeflyktskedja i en webbläsarmotor som används överallt är värd att behandla som akut oavsett vem som tekniskt sett är skyldig CISA en rapport.

Källor: Chrome Releases blog, The Hacker News, CISA KEV catalog.