Die aktiv ausgenutzte Schwachstelle CVE-2026-87491 betrifft V8, die JavaScript- und WebAssembly-Engine von Chrome. Google beschreibt sie als Out-of-bounds-Write und stuft den Schweregrad als mittel ein — trotz der Bestätigung, dass ein Exploit in der freien Wildbahn existiert. Details zu den Angriffen nennt der Hersteller wie üblich nicht.
Entdeckt wurde der Fehler von Jihyeon Jeong vom Compsec Lab der Seoul National University. Für den Hinweis zahlte Google 2.500 US-Dollar. Damit ist es der siebte Zero-Day, der 2026 in Chrome behoben wurde; die sechs vorherigen tragen die Kennungen CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 und CVE-2026-85046.
Neben dem Zero-Day beseitigt Chrome 153 fünf als kritisch bewertete Fehler. Vier davon stecken in WebGL — es handelt sich um Use-after-free-Fehler, einen Schreibzugriff außerhalb der Speichergrenzen sowie einen Pufferüberlauf. Der fünfte kritische Fehler ist eine Use-after-free-Schwachstelle in der Cast-Komponente.
Hinzu kommen 41 Lücken mit hohem Schweregrad. Auch hier dominieren Use-after-free-Fehler, dazu kommen Lesezugriffe außerhalb der Speichergrenzen, fehlerhafte oder fehlende Autorisierungsprüfungen sowie Race Conditions.
Den größten Anteil machen die über 180 Fehler mittlerer und niedriger Einstufung aus. Google listet darunter Informationsabflüsse, irreführende Darstellungen in der Benutzeroberfläche, falsch aufgelöste Referenzen, mangelhafte Autorisierung, nicht initialisierte Ressourcen, unzureichende Validierung und Clickjacking.
Bemerkenswert an der Bilanz: Von den 230 Schwachstellen wurden nach Angaben in Googles Sicherheitsmitteilung nur 35 von externen Forschern gemeldet. Der übrige Großteil geht damit auf interne Prüfungen und Werkzeuge zurück. Für die externen Meldungen zahlte Google rund 23.000 US-Dollar an Bug-Bounty-Prämien aus; für etwa zwei Dutzend der Berichte sind die Beträge bislang nicht veröffentlicht.
Die neue Version wird derzeit als 153.0.8010.36 und .37 für Windows und macOS sowie als 153.0.8010.36 für Linux verteilt. Angesichts des bereits genutzten V8-Exploits empfiehlt Google, das Update ohne Verzögerung einzuspielen.