Google potwierdza exploit dla luki w silniku V8, drugiej takiej we wrześniu. Spreparowana strona może uruchomić kod w przeglądarce. Zaktualizuj Chrome do 153.0.8010.36 lub nowszej i przeglądarki Chromium.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, w których pracownicy korzystają z Google Chrome, Microsoft Edge lub innych przeglądarek opartych na Chromium. Werdykt: każda przeglądarka Chrome starsza niż 153.0.8010.36 powinna zostać dziś zaktualizowana i uruchomiona ponownie, bo Google potwierdza exploit dla drugiej w ciągu tygodnia luki w silniku V8.
8 września 2026 roku Google wydał Chrome 153 z 230 poprawkami bezpieczeństwa i poinformował, że wie o exploicie wykorzystywanym w realnych warunkach dla jednej z nich, CVE-2026-87491. Dzień później amerykańska agencja CISA dopisała lukę do katalogu KEV, czyli listy podatności, co do których ma dowody wykorzystania w prawdziwych atakach, z terminem naprawy 23 września 2026 roku.
Błąd to zapis poza przydzielonym obszarem pamięci w silniku V8, który wykonuje skrypty na stronach. Spreparowana strona może uruchomić kod napastnika w piaskownicy przeglądarki. Google ocenił wagę luki jako średnią, ale fakt wykorzystania sprawia, że realne ryzyko jest wyższe. To siódma wykorzystywana luka w Chrome w 2026 roku i druga w ciągu tygodnia, po CVE-2026-85046.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-87491 |
Data dodania do CISA KEV | 2026-09-09 |
Termin naprawy wg CISA | 2026-09-23 |
Produkt | Google Chromium V8 (silnik JavaScript), w tym Google Chrome; wg CISA także inne przeglądarki oparte na Chromium, np. Microsoft Edge i Opera |
Wersje zagrożone | Google Chrome przed 153.0.8010.36. Atak wymaga otwarcia przez użytkownika spreparowanej strony |
Wersje bezpieczne | Chrome 153.0.8010.36/.37 (Windows, Mac) i 153.0.8010.36 (Linux) lub nowsze. Microsoft Edge: wg Microsoft poprawka od 152.0.4191.66; najnowsze wydanie Edge Stable w notach to 153.0.4234.32 z 10 września 2026 |
Typ podatności | Zapis poza granicami bufora w V8, wykonanie kodu w piaskownicy; CWE-787 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, CISA ADP): atak przez sieć, bez uprawnień, wymaga udziału użytkownika. Waga wg Google (Chromium): średnia. Google nie podał oceny CVSS |
Wyobraź sobie magazyn, w którym każda dostawa ma przydzielony regał. Magazynier układa towar tylko na swoim regale. Pewien nadawca tak opisał przesyłkę, że magazynier zaczął dokładać paczki na sąsiednie półki, nadpisując etykiety cudzych towarów. Kto kontroluje, co trafia na te półki, może zmienić zasady działania całego zaplecza.
Tak działa ta luka. Silnik V8 przydziela skryptom ze stron konkretne obszary pamięci. Błąd pozwala spreparowanej stronie zapisać dane poza przydzielonym obszarem, a to otwiera drogę do uruchomienia kodu napastnika w przeglądarce. Piaskownica ogranicza skutki, ale Google nie ujawnił, czy napastnicy łączą tę lukę z drugą, pozwalającą się z niej wydostać.
💡 V8 to silnik JavaScript w Chrome i innych przeglądarkach opartych na Chromium. Zapis poza granicami bufora oznacza, że program zapisuje dane w pamięci, która do niego nie należy. Piaskownica (sandbox) to izolowane środowisko przeglądarki. Waga Chromium to ocena Google dla samego błędu; nie uwzględnia faktu, że ktoś już go wykorzystuje.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wejście na stronę z linku | Strona tylko się wyświetla | Strona może uruchomić kod napastnika |
Ocena „średnia” u producenta | Aktualizacja w zwykłym cyklu | Wymaga pilnej reakcji, bo exploit istnieje |
Aktualizacja pobrana, bez restartu | Poczucie bezpieczeństwa | Stara wersja nadal działa |
Edge i inne przeglądarki Chromium | Osobny temat | Ten sam silnik, poprawki własnym rytmem |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu: Google nie ujawnił szczegółów ataków. Do wykorzystania luki potrzebne jest, by ofiara otworzyła przygotowaną stronę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T-dni | Złośliwy kod na stronie, w reklamie lub na przejętej witrynie | Pułapka gotowa |
2. Zwabienie | T+0 | Link w e-mailu, komunikatorze, wynikach wyszukiwania | Pracownik otwiera stronę |
3. Wykorzystanie luki | T+sekundy | Uszkodzenie pamięci silnika V8 | Kod napastnika w piaskownicy |
4. Ucieczka z piaskownicy | T+minuty | Ewentualne użycie drugiej luki | Dostęp do systemu |
5. Dalsze działania | T+godziny | Kradzież haseł, sesji, instalacja szkodnika | Przejęcie kont i danych |
Dwie wykorzystywane luki w tym samym silniku w ciągu tygodnia pokazują, że przeglądarka jest dziś jednym z głównych celów napastników. Firmy, które aktualizują przeglądarki raz w miesiącu lub pozostawiają restart pracownikom, przez wiele dni pracują z otwartą luką. Średnia waga nadana przez Google nie zmienia faktu, że exploit już istnieje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie lub reinstalacja komputerów, blokada kont | Dni | 5 tys. do 80 tys. PLN (praca IT, przestój pracowników) |
Bezpieczeństwo danych | Kradzież haseł, sesji, dokumentów otwartych w przeglądarce | Minuty do godzin | 20 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Oszustwa na przelewy, przejęcie kont usług chmurowych | Godziny do tygodni | 50 tys. do 1 mln PLN łącznie |
Reputacyjny | Wiadomości oszukańcze wysyłane z przejętych kont firmowych | Dni | 20 tys. do 300 tys. PLN |
Prawny | Przy danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnych kar |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla przeglądarek Chromium bez poprawki CVE-2026-87491
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo exploit istnieje, a przeglądarek używa każdy pracownik; wpływ jest wysoki, a nie maksymalny, bo sama luka daje kod w piaskownicy i wymaga otwarcia strony przez użytkownika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wymusić aktualizację Chrome do 153.0.8010.36 lub nowszej na wszystkich komputerach | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Wymusić ponowne uruchomienie przeglądarek | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować Microsoft Edge do najnowszej wersji Stable i śledzić kolejne wydania | Dziś | Administrator |
4 | 🟠 PILNIE | Zaktualizować inne przeglądarki oparte na Chromium lub zablokować te, których IT nie zarządza | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić raport wersji przeglądarek, także na laptopach osób pracujących poza biurem | Do 3 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Ustalić zasadę: krytyczne poprawki przeglądarek wdrażane i restartowane w ciągu 48 godzin | Do 30 dni | CTO |
Google wydał poprawkę i nie podaje obejścia. Aktualizacja jest wdrażana stopniowo, więc warto ją wymusić. Microsoft 15 września 2026 roku poinformował, że przygotowuje kolejną poprawkę Edge po najnowszych zmianach w Chromium. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ręczne wymuszenie aktualizacji i restartu przeglądarki | Wysoka | Łatwa |
Czasowe przejście na zaktualizowaną przeglądarkę, gdy inna czeka na poprawkę | Wysoka | Łatwa do średniej |
Filtrowanie ruchu WWW i blokada podejrzanych domen | Średnia | Średnia |
Ostrzeżenie pracowników przed linkami z nieznanych źródeł | Niska do średniej | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Chrome | Starsza niż 153.0.8010.36 | 153.0.8010.36 lub nowsza |
Tempo reakcji na luki przeglądarki | Comiesięczny cykl | Do 48 godzin z restartem |
Przeglądarki poza kontrolą IT | Instalowane dowolnie | Spisane, zarządzane lub zablokowane |
Ocena pilności | Według wagi producenta | Według faktu wykorzystania (KEV) |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA; Google: exploit istnieje w realnych warunkach) |
Grupy przestępcze | Brak publicznych informacji; Google nie ujawnił sprawców ani celów |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CISA ADP, CVSS 3.1); waga Chromium: średnia |
PoC dostępny publicznie? | Brak publicznych informacji o PoC |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił lukę | Jihyeon Jeong (Compsec Lab, Uniwersytet Narodowy w Seulu), 6 sierpnia 2026, nagroda 2500 USD |
Skala aktualizacji | Chrome 153: 230 poprawek, w tym 5 krytycznych i 41 o wysokiej wadze (wg SecurityWeek i The Hacker News) |
Sygnały zagrożenia dla CVE-2026-87491
CVSS 3.1 (CISA ADP) 8.8/10 █████████████████░░░ WYSOKA
Waga Chromium (Google) średnia ██████████░░░░░░░░░░ zaniżona wobec ataków
Exploit w obiegu TAK ████████████████████ potwierdzony przez Google
CISA KEV TAK ████████████████████ termin 23.09
Udział użytkownika TAK ██████████░░░░░░░░░░ wejście na stronę 2026-08-06 Jihyeon Jeong zgłasza lukę do Google
2026-09-03 Poprzednia wykorzystywana luka V8: CVE-2026-85046
2026-09-04 Microsoft Edge 152.0.4191.66 z poprawką (wg Microsoft)
2026-09-08 Chrome 153.0.8010.36/.37; Google potwierdza exploit
2026-09-09 Publikacja CVE; CISA dodaje lukę do katalogu KEV
2026-09-10 NVD kończy analizę; Microsoft Edge Stable 153.0.4234.32
2026-09-15 Microsoft zapowiada kolejną poprawkę Edge
2026-09-17: TUTAJ JESTEŚMY
2026-09-23 Termin naprawy wg CISA Komunikat Google: Chrome Releases, 8 września 2026 . Poprawki Edge: Microsoft Edge Security Updates . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-87491 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport: ile komputerów ma Chrome starszy niż 153.0.8010.36 | CTO | DZISIAJ |
2 | Zatwierdzić wymuszony restart przeglądarek | CTO | DZISIAJ |
3 | Potwierdzić aktualizację Edge i wyznaczyć osobę śledzącą kolejne wydania | CTO | DO JUTRA |
4 | Zdecydować, które przeglądarki są dozwolone w firmie | CTO | DO JUTRA |
5 | Ocenić koszt narzędzia do centralnego zarządzania aktualizacjami, jeśli firma go nie ma | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów ma Chrome starszy niż 153.0.8010.36? | [liczba] | 🔴 |
2 | Czy przeglądarki zostały uruchomione ponownie po aktualizacji? | TAK / NIE | 🔴 |
3 | Jaka wersja Edge działa na komputerach firmowych? | [wersja] | 🔴 |
4 | Kiedy wdrożyliśmy poprawki po CVE-2026-85046 i CVE-2026-87491? | [data] | 🟠 |
5 | Czy wiemy, jakie inne przeglądarki Chromium są zainstalowane? | TAK / NIE | 🟠 |
6 | Czy laptopy pracowników poza biurem raportują wersję przeglądarki? | TAK / NIE | 🟠 |
7 | Czy priorytet aktualizacji ustalamy według katalogu KEV, a nie tylko wagi producenta? | TAK / NIE | 🟡 |
CVE-2026-87491 to druga w ciągu tygodnia wykorzystywana luka w silniku V8, która pozwala przejąć przeglądarkę po wejściu na przygotowaną stronę. Mimo średniej wagi nadanej przez Google exploit już istnieje, a CISA wymaga naprawy do 23 września 2026 roku. Aktualizacja Chrome do 153.0.8010.36 lub nowszej, wymuszony restart i uporządkowanie aktualizacji Edge oraz innych przeglądarek Chromium to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.