Un grave bug nel motore V8 di Chrome permette a cybercriminali di eseguire codice arbitrario tramite una pagina HTML malevola. Google ha rilasciato Chrome 153 per bloccare l'attacco, già sfruttato attivamente, ma la patch non è ancora diffusa ovunque.
Un exploit zero day sta colpendo gli utenti Chrome: una falla nel motore V8 consente a un attaccante remoto di eseguire codice arbitrario all'interno del sandbox del browser semplicemente inducendo la vittima a visitare una pagina HTML appositamente preparata. Google ha confermato che la vulnerabilità, identificata come CVE-2026-87491, è già sfruttata attivamente e ha rilasciato Chrome 153 per bloccare l'attacco. Ma la distribuzione della patch è lenta e milioni di dispositivi restano esposti.
Il cuore del problema è un out-of-bounds write in V8, il motore JavaScript e WebAssembly di Chrome. Un errore di gestione della memoria permette di scrivere dati oltre i limiti del buffer, corrompendo strutture adiacenti e aprendo la porta all'esecuzione di codice malevolo. L'attacco si attiva quando Chrome elabora codice JavaScript o HTML manipolato: basta un click su un link di phishing, una pubblicità infetta o un sito compromesso.
Come funziona l'exploit e chi è a rischio
La vulnerabilità colpisce tutte le versioni di Chrome precedenti alla 153.0.8010.36. L'attaccante non ottiene subito il controllo totale del sistema operativo, ma può manipolare il processo renderer del browser, primo passo per una compromissione più ampia se combinato con altre falle. Google classifica il bug come "Medium", ma il fatto che sia già sfruttato in attacchi reali alza drasticamente il livello di rischio operativo.
Il ricercatore Jihyeon Jeong di Compsec Lab (Seoul National University) ha segnalato la falla il 6 agosto 2026. Google ha premiato la scoperta con 2.500 dollari e ha incluso la correzione nel rilascio stabile dell'8 settembre. L'aggiornamento Chrome 153 contiene ben 230 fix di sicurezza, tra cui cinque vulnerabilità critiche e decine di bug ad alta gravità in componenti come WebGL, Cast, PDFium, DevTools e Payments.
Difendersi e individuare i segnali di compromissione
Google non ha diffuso dettagli tecnici, indicatori di compromissione o informazioni sulle campagne attive: nessun dominio, IP, file exploit o hash di payload è stato reso pubblico. Questo rende inefficaci le difese basate su firme statiche e costringe le aziende a puntare su telemetria, analisi comportamentale e verifica delle versioni installate. Ogni endpoint con Chrome sotto la 153.0.8010.36 va considerato vulnerabile e aggiornato con urgenza.
Segnali sospetti da monitorare includono crash improvvisi del renderer, alert di corruzione memoria da EDR, processi figli insoliti, download anomali dopo sessioni browser, connessioni outbound inattese e tentativi di exploit per evadere il sandbox. La correlazione tra visite a siti sospetti e comportamenti anomali del browser è un campanello d'allarme che richiede indagini forensi approfondite.
Patch, rollout e limiti della mitigazione
Chrome aggiorna automaticamente il browser, ma la patch diventa effettiva solo dopo il riavvio. Google avverte che il rollout può richiedere giorni o settimane: non basta quindi attendere, serve verificare attivamente la versione installata (Chrome > Guida > Informazioni su Google Chrome) e forzare il riavvio su tutti i dispositivi aziendali. Gli amministratori dovrebbero imporre policy di restart rapido e monitorare la compliance, soprattutto per endpoint critici o esposti a rischio elevato.
Installare la patch blocca nuovi attacchi, ma non garantisce che un sistema non sia già stato compromesso prima dell'aggiornamento. Per questo è fondamentale una retrospettiva sugli endpoint vulnerabili nelle settimane precedenti, analizzando crash, comportamenti anomali e attività sospette post-navigazione.
Il contesto di una minaccia in evoluzione
CVE-2026-87491 è solo l'ultimo di una serie di attacchi zero day contro Chrome: è il settimo bug sfruttato attivamente nel 2026, a conferma che i motori browser restano bersagli privilegiati per attori sofisticati. Appena cinque giorni prima, Google aveva corretto CVE-2026-85046, un'altra falla V8 di tipo confusion. La pressione su Google per rafforzare la sicurezza di V8 e accelerare la risposta agli incidenti è ormai evidente.
La situazione ricorda quanto già visto in altri ecosistemi: anche piattaforme come Magento sono state colpite da exploit zero day che hanno lasciato milioni di utenti senza difese, come riportato recentemente dagli analisti di settore.
La realtà è che la sicurezza dei browser moderni si gioca su una corsa contro il tempo: chi aggiorna subito limita i danni, chi rimanda rischia di essere la prossima vittima. L'assenza di dettagli pubblici sull'exploit e la mancanza di indicatori di compromissione costringono le aziende a un approccio proattivo, basato su monitoraggio continuo e gestione centralizzata degli aggiornamenti. Google ha fatto la sua parte rilasciando la patch, ma la responsabilità ora passa agli utenti e ai team IT: chi sottovaluta la rapidità degli attaccanti, oggi, lo fa a proprio rischio e pericolo.
