CVE-2026-87491 trên Chrome đang bị khai thác: Cập nhật ngay

CVE-2026-87491 trên Google Chrome đã bị khai thác ngoài thực tế. Lỗi nằm trong V8, bộ máy xử lý JavaScript và WebAssembly của trình duyệt. Google đã đưa bản vá vào Chrome 153. Nếu đang đọc bài này bằng Chrome, bạn nên kiểm tra phiên bản ngay và nhớ khởi động lại trình duyệt sau khi cập nhật.

Thông báo chính thức của Google phát hành Chrome 153 ngày 8/9/2026 và xác nhận exploit cho CVE-2026-87491 đã tồn tại ngoài thực tế. Ngày 9/9, CISA thêm lỗi này vào danh mục Known Exploited Vulnerabilities (KEV). Đây là bằng chứng để ưu tiên vá ngay, không phải một cảnh báo kiểu “có thể một ngày nào đó”.

CVE-2026-87491 nguy hiểm thế nào?

Đây là lỗi ghi dữ liệu vượt ngoài vùng nhớ được cấp phát trong V8. Nói dễ hiểu, dữ liệu có thể bị ghi nhầm sang khu vực không nên đụng tới. Kẻ tấn công có thể chuẩn bị một trang HTML độc hại; khi Chrome xử lý trang đó, lỗi có thể cho phép chạy mã tùy ý bên trong vùng cách ly của trình duyệt.

Google xếp lỗi ở mức Medium trong hệ thống đánh giá của Chromium. Tuy vậy, CISA đã đưa CVE vào KEV vì có bằng chứng khai thác thật. Hai thông tin này không mâu thuẫn: điểm kỹ thuật mô tả một phần tác động, còn KEV cho biết kẻ xấu đã dùng lỗ hổng. Với trình duyệt thường xuyên mở nội dung từ Internet, tín hiệu sau mới là lý do phải xử lý sớm.

Phạm vi đã được xác nhận là Google Chrome trước phiên bản 153.0.8010.36. Mô tả công khai chỉ nói việc chạy mã xảy ra bên trong sandbox, tức vùng cách ly của Chrome. Hiện chưa có nguồn chính thức cho thấy riêng lỗi này đủ để chiếm toàn bộ máy tính hay thoát khỏi sandbox. Google cũng chưa công bố mục tiêu, nhóm tấn công hoặc cách phát tán cụ thể.

CISA lưu ý lỗi trong Chromium có thể liên quan đến các trình duyệt khác dùng cùng nền tảng, như Microsoft Edge và Opera. Tuy nhiên, mỗi hãng có số phiên bản và lịch vá riêng. Đừng lấy số bản Chrome để kết luận Edge hoặc Brave đã an toàn; hãy kiểm tra thông báo cập nhật của đúng trình duyệt đang dùng.

Cách cập nhật Chrome để vá CVE-2026-87491

1. Mở menu ba chấm, chọn Trợ giúp, rồi chọn Giới thiệu về Google Chrome. Cách nhanh hơn là nhập chrome://settings/help vào thanh địa chỉ.
2. Chờ Chrome tải và cài bản cập nhật. Bản đã sửa là 153.0.8010.36 hoặc .37 trên Windows và macOS; trên Linux là 153.0.8010.36. Bản mới hơn cũng được chấp nhận.
3. Chọn Relaunch hoặc đóng hẳn rồi mở lại Chrome. Sau đó quay lại trang giới thiệu để kiểm tra phiên bản đang chạy.
4. Nếu máy do cơ quan quản lý, đội IT nên kiểm tra số phiên bản thực tế trên từng thiết bị, không chỉ nhìn trạng thái “đã tải gói cập nhật”. Một trình duyệt mở cả tuần có thể giữ bản cũ dai như đỉa.

Với Edge, Brave, Opera, Vivaldi và các trình duyệt Chromium khác, hãy cài phiên bản mới nhất do chính hãng cung cấp. Nếu nhà cung cấp chưa xác nhận bản chứa mã sửa, có thể tạm dùng một trình duyệt đã vá cho công việc cần mở liên kết không tin cậy.

Nếu nghi đã mở trang độc hại

Google chưa công bố IOC, tức dấu hiệu kỹ thuật cụ thể để người dùng tự dò cuộc tấn công này. Nếu trình duyệt hoặc phần mềm bảo mật báo hành vi lạ ngay sau khi mở liên kết, hãy dừng các phiên đăng nhập nhạy cảm và báo cho đội IT. Đừng đổi mật khẩu trên chính máy đang nghi bị xâm nhập; dùng một thiết bị sạch và ưu tiên bảo vệ email, tài khoản cơ quan cùng trình quản lý mật khẩu.

Tuần trước Chrome cũng phải vá CVE-2026-85046 đang bị khai thác. CVE hôm nay là lỗi khác và cần Chrome 153, vì vậy máy đã vá lỗi cũ chưa chắc đã đạt phiên bản an toàn hiện tại.

Nguồn kiểm chứng

• Google Chrome Releases: Stable Channel Update for Desktop, ngày 8/9/2026.
• CISA Known Exploited Vulnerabilities: CVE-2026-87491.
• NVD: CVE-2026-87491.
• Help Net Security, ngày 9/9/2026.