先說結論：使用 Google Chrome 桌面版的個人與管理員應確認 CVE-2026-87491 的修補已真正安裝並啟用。Google 在 2026 年 9 月 8 日推出 Chrome 153 穩定版，並表示知道這個編號的利用程式已出現在真實環境；CISA 隔日納入已知遭利用漏洞目錄。V8 是瀏覽器執行網頁 JavaScript 的核心元件，這次 CISA 將問題描述為越界寫入。本文於 10 月 4 日重新核對官方資料，聚焦實際版本、重新啟動及受管電腦的更新完成率，不推測未公開的攻擊網頁或受害者。
背景與前因：Google 的九月八日公告是 Chrome 桌面穩定版的發行說明，涵蓋 Windows、macOS 與 Linux；CISA 的 KEV 提供是否已有實際利用證據的獨立訊號。Google 說當次 153 版包含許多安全修正，但本文只處理 CVE-2026-87491，避免把其他漏洞的技術細節嫁接到同一編號。Google 也提醒，在多數用戶取得修補前，部分錯誤細節可能保持限制存取。資訊不足時，最可靠的行動是比對版本與完成更新，而非依匿名傳聞推導攻擊流程。
原因與前置條件：CISA 說此弱點位於 Chromium V8，屬於越界寫入，可能讓遠端攻擊者透過特製網頁在瀏覽器沙箱內執行任意程式碼。越界寫入是資料超出程式預留的記憶體範圍；沙箱則是限制網頁程式對整台電腦影響的隔離區。CISA 的描述並不等於攻擊者已經在每個環境突破沙箱或取得作業系統管理權限，Google 的公告也沒有公開完整利用鏈。讀者應把已知的技術後果與尚未證實的後續入侵情境分開。
影響範圍：Google 公告列出的九月八日桌面穩定版為 Linux 153.0.8010.36，以及 Windows 與 macOS 的 153.0.8010.36 或 .37。這些是該次發布的歷史修補版本，不是十月四日的最新版本保證；若裝置已安裝後續官方穩定版，仍要核對實際更新來源。CISA 提醒其他採用 Chromium 的瀏覽器也可能受到同一元件影響，但不同廠商的修補版本和發布時間由各自維護，不應把 Chrome 的數字直接套用到 Edge 或其他產品。
這個事件至少有兩個需要分開閱讀的官方時間點。Google 在 2026-09-08 公開與 CVE-2026-87491 相關的產品資訊；CISA 於 2026-09-09 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。Google 與 CISA 未提供任何特定讀者電腦的鑑識資料，也未證明所有採用 Chromium 的產品使用相同修補版號。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Google Chrome 桌面穩定版，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：在瀏覽器的說明與版本資訊頁面確認目前版本，讓 Chrome 取得官方更新，依提示重新啟動後再讀一次版本。正在執行的舊程序可能在下載完成後仍未載入修補，因此『已下載』與『已重啟並使用新版』須分開記錄。企業可從端點管理與瀏覽器管理資料找出尚未重啟、長期離線或受政策限制的電腦，交由負責人完成更新。若使用其他 Chromium 衍生產品，應分別閱讀其供應商公告，不以單一 Chrome 版號代替全部產品的驗證。
盤點時可以把每一個受管瀏覽器與終端寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排瀏覽器更新與重新啟動之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這是短期內另一個與 Chrome V8 有關的 KEV 事件，但它與較早的 CVE-2026-85046 是不同編號、不同公告與不同修補批次。九月八日的 Google 公告將本次漏洞放在 Chrome 153 的更新脈絡；若組織只保留『瀏覽器已更新過一次』的紀錄，可能忽略後續安全更新。應以裝置目前執行的版號與查核時間為準，並在修補後繼續追蹤官方穩定版，而非把某次更新工單永久當成完成所有 V8 風險的證據。
仍須由使用單位自行回答的問題是：目前有多少受管瀏覽器與終端、哪些仍在受影響版本、瀏覽器更新與重新啟動是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Google 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-87491，原廠事件日期為 2026-09-08，CISA KEV 收錄日為 2026-09-09，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Google Chrome 桌面穩定版 的實際部署範圍、按原廠指引完成瀏覽器更新與重新啟動、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Stable Channel Update for Desktop — September 8, 2026（Google）
- Known Exploited Vulnerabilities Catalog — CVE-2026-87491（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。