Riassunto:
Google ha recentemente rilasciato un aggiornamento di sicurezza di emergenza per il browser Chrome, incentrato sulla correzione di una vulnerabilità zero-day ad alto rischio che è stata attivamente sfruttata dagli hacker in libertà, oltre a correggere altre 11 vulnerabilità di sicurezza. La vulnerabilità zero-day, tracciata come CVE-2026-85046, è una vulnerabilità di confusione di tipo che esiste nel motore JavaScript open source e WebAssembly V8 di Chrome.
La vulnerabilità è stata scoperta e segnalata dal ricercatore di sicurezza Salvatore Gulizia (nome in codice di rete "Serotav"). In un difetto di confusione di tipo, il software valuta erroneamente un oggetto di un tipo come di un altro tipo, causando il danneggiamento della memoria. Un utente malintenzionato può in genere indurre gli utenti ad accedere a una pagina Web appositamente predisposta contenente script dannosi, attivando così la vulnerabilità e ottenendo l'esecuzione di codice arbitrario nel processo di rendering sandbox della vittima.
In risposta a questa minaccia, Google ha lanciato una versione di riparazione su tutte le piattaforme. Le piattaforme Windows e macOS sono state aggiornate a 152.0.7977.82/.83 e la piattaforma Linux è stata aggiornata a 152.0.7977.82. Google ha confermato nel bollettino sulla sicurezza di aver appreso che esistono attacchi ed exploit mirati a questa vulnerabilità, ma il funzionario non ha rivelato i dettagli tecnici e i metodi di attacco specifici della vulnerabilità, con l'obiettivo di guadagnare tempo di riparazione sufficiente per la maggior parte degli utenti e dei progetti a valle che si basano sul codice.
La patch di aggiornamento inviata questa volta risolve anche altre 9 vulnerabilità ad alto rischio, che coinvolgono componenti chiave come il sistema di segnalazione degli arresti anomali (Crash Reporting), il modulo di rete (Network), la composizione (Compositing), WebGL, l'archiviazione della cache (CacheStorage), gli strumenti di sviluppo (DevTools), la libreria grafica Skia 2D e le condizioni di gara nel motore V8.
Vale la pena notare che CVE-2026-85046 è la sesta vulnerabilità zero-day di Chrome corretta da Google quest'anno e che è stata sfruttata in libertà. I problemi risolti in precedenza riguardano letture e scritture fuori limite nel motore V8, errori degli iteratori nell'implementazione del valore delle caratteristiche dei caratteri CSS, scritture fuori limite nella libreria grafica Skia e vulnerabilità Use-After-Free nell'implementazione standard WebGPU Dawn.
Gli esperti di sicurezza consigliano agli utenti di Chrome di verificare e applicare l'aggiornamento il prima possibile. Puoi attivare automaticamente il download e l'installazione tramite la pagina "Informazioni su Chrome" nelle "Impostazioni" del browser e riavviare il browser al termine per garantire che la patch abbia effetto. Allo stesso tempo, anche gli utenti che utilizzano browser basati sul kernel Chromium come Microsoft Edge, Brave, Opera e Vivaldi devono prestare molta attenzione ai push successivi e completare l'aggiornamento non appena ciascun produttore rilascia la versione corrispondente.
Ulteriori informazioni:
https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html
Commenti