KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk segera memperbarui peramban Google Chrome dan peramban berbasis Chromium lainnya, termasuk Microsoft Edge, atas dua kerentanan pada mesin JavaScript V8: CVE-2026-85046 dan CVE-2026-87491. Keduanya berskor CVSS 8,8 (High), telah dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA masing-masing pada 4 September 2026 dan 9 September 2026, dan Google menyatakan mengetahui adanya eksploit di dunia nyata untuk keduanya.

Ikhtisar

V8 adalah mesin yang menjalankan JavaScript di Chrome dan peramban turunan Chromium. Kedua kerentanan dapat dipicu hanya dengan membuat korban membuka halaman web yang dirancang khusus, tanpa perlu mengunduh atau menjalankan berkas.

• CVE-2026-85046 — Type Confusion (CWE-843) pada V8. Penyerang jarak jauh dapat mengeksekusi kode di dalam sandbox peramban lewat halaman HTML yang dirancang khusus. Tingkat keparahan menurut Chromium: High.
• CVE-2026-87491 — Out of Bounds Write (CWE-787) pada V8, dengan dampak yang sama. Tingkat keparahan menurut Chromium: Medium.

Keduanya memiliki vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H: dapat dijangkau dari jaringan, tanpa hak akses, dan memerlukan satu interaksi pengguna (membuka halaman).

Dampak

• Eksekusi kode di dalam sandbox peramban saat pengguna mengunjungi situs berbahaya atau situs sah yang telah disusupi.
• Sandbox memang membatasi dampak, tetapi kerentanan semacam ini biasanya dirangkai dengan kelemahan lain untuk keluar dari sandbox dan menguasai perangkat.
• Sesi login, kuki, dan data yang terbuka di peramban pegawai, termasuk aplikasi pemerintahan berbasis web, berisiko diakses.

Sistem yang Terdampak

Memperbarui Chrome ke 153.0.8010.36 atau lebih baru menutup kedua kerentanan sekaligus. Chrome 153 dipromosikan ke saluran stabil pada 8 September 2026.

Detail Teknis

Kedua cacat adalah kesalahan penanganan memori dalam kode V8 yang mengkompilasi dan menjalankan JavaScript. Type confusion terjadi ketika kode memperlakukan sebuah objek sebagai jenis yang salah, sedangkan out-of-bounds write menulis di luar batas penyangga memori. Pada keduanya penyerang dapat memperoleh kemampuan membaca atau menulis memori peramban dan menjalankan kode di dalam sandbox.

Google membatasi akses ke rincian bug sampai sebagian besar pengguna telah diperbarui. Rincian teknis lebih dalam tidak dimuat di sini.

Rekomendasi

1. Perbarui Google Chrome ke 153.0.8010.36 atau lebih baru. Buka menu Bantuan → Tentang Google Chrome agar pembaruan diunduh, lalu mulai ulang peramban; perbaikan baru aktif setelah itu.
2. Perbarui Microsoft Edge dan peramban berbasis Chromium lain ke versi terbaru dari vendornya, serta periksa catatan rilis keamanan vendor tersebut untuk memastikan perbaikan Chromium di atas sudah dimuat.
3. Bagi yang mengelola banyak komputer, gunakan kebijakan pembaruan terpusat dan pastikan peramban tidak tertahan di versi lama. Peramban yang dibiarkan terbuka berhari-hari tanpa dimulai ulang tetap memakai versi lama.
4. Periksa aplikasi lain yang menyertakan Chromium (misalnya aplikasi berbasis Electron atau komponen penampil web tertanam) dan terapkan pembaruan dari pengembangnya.
5. Imbau pegawai agar tidak membuka tautan dari pengirim tidak dikenal sebelum peramban diperbarui.
6. Laporkan indikasi kompromi melalui kanal pelaporan resmi atau ke csirt@kutaitimurkab.go.id.

Catatan Status Eksploitasi

Kedua CVE tercatat di katalog KEV CISA: CVE-2026-85046 ditambahkan pada 4 September 2026 dan CVE-2026-87491 pada 9 September 2026. Catatan rilis Chrome untuk masing-masing versi menyatakan, “Google is aware that an exploit for” CVE tersebut “exists in the wild”. Dengan demikian eksploitasinya sudah teramati di dunia nyata, bukan sekadar potensi teoretis. CISA menyebut kerentanan ini dapat memengaruhi banyak peramban berbasis Chromium, termasuk Chrome, Edge, dan Opera.

Rincian CVE

Referensi

• Chrome Releases – Stable Channel Update for Desktop, 3 September 2026 (152.0.7977.82)
• Chrome Releases – Stable Channel Update for Desktop, 8 September 2026 (153.0.8010.36)
• NVD – CVE-2026-85046
• NVD – CVE-2026-87491
• CISA Known Exploited Vulnerabilities Catalog