CVE-2026-87491highbajo ataqueCWE-787

CVE-2026-87491: fallo de gravedad alta en Google Chrome

Publicada el · Actualizada el

71Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 3.1%
de la publicación al arma1 días
Publicada en NVD9 sept
1ª PoC+1d
CISA KEV9 sept
probabilidad de explotación
3.1%top 12% de las CVE
explotación observada
síCISA + VulnCheck
3 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2026-09-23

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Una falla en el motor V8 de Chrome permite que atacantes escriban datos fuera de los límites de memoria mediante una página maliciosa, posibilitando la ejecución de código dentro de la sandbox del navegador.

Detalle técnico

Vulnerabilidad de escritura fuera de límites (out-of-bounds write) en V8 permite ejecución de código arbitrario dentro de la sandbox de Chrome mediante HTML malicioso. El vector de ataque es basado en red (sitio visitado por el usuario); el impacto es ejecución de código confinado a la sandbox.

Resumen generado y traducido por IA a partir de la descripción oficial.
Out of bounds write in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Google · Chrome
PoCs públicas encontradas — 3
githubgithub.com/SneakyNachos/CVE-2026-87491-and-CVE-2026-85046-the-bagel-fell-off-the-counter★ 5vulncheckvulncheck.com/xdb/e9fe657b2bb0no verificadovulncheckvulncheck.com/xdb/d18f5e07f785no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Google Chrome

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-4863HIGHCVE-2023-4863EPSS 100.0%KEVCVE-2018-17463HIGHCVE-2018-17463EPSS 84.6%KEVCVE-2021-21224HIGHCVE-2021-21224EPSS 84.2%KEVCVE-2020-6418HIGHCVE-2020-6418EPSS 78.8%KEVCVE-2022-2294HIGHCVE-2022-2294EPSS 70.5%KEVCVE-2021-21220HIGHCVE-2021-21220EPSS 70.4%KEV
Referencias
https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0808145027.htmlhttps://issues.chromium.org/issues/543557673https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-87491