Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-87491 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-09 |
| Producent | |
| Produkt | Chromium V8 |
| CVSS Score | 8.8 (Wysoki) |
| EPSS Score | 1.0% (percentyl: 61%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-23 |
Opis podatności
Źródło: CISA KEV
Silnik JavaScript V8 w Chromium zawiera podatność typu zapis poza zakresem (out of bounds write). Pozwala ona zdalnemu atakującemu wykonać dowolny kod wewnątrz piaskownicy (sandbox) przez spreparowaną stronę HTML.
Zastrzeżenie „wewnątrz piaskownicy” jest istotne i nie należy go pomijać: wykonanie kodu ogranicza się do procesu renderującego, a wyjście poza piaskownicę wymagałoby dodatkowej podatności. To realnie zmniejsza skutek pojedynczego błędu — ale nie czyni go nieistotnym, bo łańcuchy złożone z błędu w silniku i ucieczki z piaskownicy to standardowy wzorzec ataków na przeglądarki.
Zakres jest szerszy niż sam Chrome. CISA wskazuje wprost, że podatność może dotyczyć wielu przeglądarek zbudowanych na Chromium — wymienia między innymi Google Chrome, Microsoft Edge i Operę, zaznaczając, że lista nie jest zamknięta. Organizacja, która zarządza aktualizacjami tylko jednej przeglądarki, może więc nadal mieć podatne stacje.
Wektorem jest zwykłe odwiedzenie strony, co czyni tę podatność użyteczną w kampaniach phishingowych i w atakach typu watering hole.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy praktycznie każdej organizacji — przeglądarka oparta na Chromium stoi dziś na większości stacji roboczych.
W praktyce zadanie sprowadza się do dwóch pytań. Czy wymuszasz aktualizacje przeglądarek na wszystkich stacjach, także tych poza domeną i tych należących do pracowników? Oraz: czy Twoja polityka obejmuje wszystkie zainstalowane przeglądarki oparte na Chromium, a nie tylko tę uznaną za standardową? Edge jest w systemie Windows domyślnie, więc bywa podatny nawet tam, gdzie organizacja „używa Chrome’a”.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
