Google ha rilasciato un aggiornamento di sicurezza per Chrome che risolve una vulnerabilità zero-day ad alta gravità nel motore V8, già sfruttata attivamente. Gli utenti devono aggiornare subito per evitare rischi di esecuzione di codice malevolo.
Un exploit zero-day ha colpito il cuore di Google Chrome, costringendo l'azienda a rilasciare in fretta un aggiornamento di sicurezza per arginare una falla già sfruttata dai criminali informatici. Il bersaglio: il motore V8, responsabile dell'esecuzione di JavaScript e WebAssembly, che si conferma ancora una volta il tallone d'Achille del browser più usato al mondo.
La vulnerabilità, identificata come CVE-2026-85046 e valutata con un punteggio CVSS di 8.8, permette a un attaccante remoto di eseguire codice arbitrario all'interno del sandbox di Chrome semplicemente inducendo la vittima ad aprire una pagina HTML appositamente preparata. Il bug, una classica type confusion, è stato scoperto dal ricercatore Salvatore Gulizia (alias Serotav), che ha ricevuto un bug bounty di 1.000 dollari per la segnalazione responsabile.
Il contesto tecnico e la scoperta della falla
Secondo la descrizione pubblicata su CVE.org, la falla riguarda una gestione errata dei tipi nel motore V8 che può portare a lettura e scrittura arbitraria sulla heap JavaScript. Gulizia ha spiegato che il problema nasce quando un array con PACKED_ELEMENTS riceve la mappa PACKED_SMI_ELEMENTS, aprendo la strada a manipolazioni pericolose della memoria. Google ha confermato che esiste già un exploit attivo per questa vulnerabilità, ma ha scelto di non diffondere dettagli tecnici sugli attacchi per evitare ulteriori compromissioni prima che la maggior parte degli utenti aggiorni il browser.
Non è la prima volta che Chrome finisce nel mirino: solo nel 2026 sono già sei le falle zero-day sfruttate attivamente e corrette in corsa, tra cui CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 e CVE-2026-11645. Il ritmo degli attacchi si fa sempre più serrato, segno che la superficie d'attacco dei browser moderni resta un obiettivo privilegiato per chi cerca di aggirare le difese degli utenti.
Impatto pratico e istruzioni per la protezione
Per ridurre il rischio di compromissione, Google raccomanda di aggiornare immediatamente Chrome alle versioni 152.0.7977.82 o .83 su Windows e macOS, e 152.0.7977.82 su Linux. L'aggiornamento può essere forzato dal menu "Altro > Guida > Informazioni su Google Chrome", seguito da un riavvio del browser. Anche chi utilizza browser basati su Chromium come Microsoft Edge, Brave, Opera e Vivaldi dovrà attendere il rilascio delle patch dedicate e applicarle senza indugi.
La pressione sugli sviluppatori di browser è ormai costante: ogni nuova vulnerabilità zero-day mette a rischio milioni di utenti e impone una corsa contro il tempo tra chi scopre e chi sfrutta le falle. Non è un caso che, come riportato di recente, anche altri fornitori di software critico siano costretti a rincorrere patch d'emergenza per bloccare attacchi già in corso.
Analisi e prospettive
La gestione trasparente ma prudente di Google, che conferma l'esistenza di exploit attivi senza rivelare dettagli tecnici, è una scelta obbligata in un contesto dove la rapidità di aggiornamento degli utenti fa la differenza tra sicurezza e compromissione di massa. Tuttavia, il fatto che una vulnerabilità così grave sia stata premiata con un bug bounty di appena 1.000 dollari solleva interrogativi sulla reale priorità attribuita alla sicurezza rispetto al valore economico dei dati e dei sistemi protetti. In un panorama dove le minacce evolvono più velocemente delle difese, la responsabilità di aggiornare non può più essere delegata solo agli utenti: serve un cambio di passo anche da parte dei produttori, che devono investire di più nella ricerca e nella prevenzione, non solo nella reazione. La corsa agli aggiornamenti non è più sufficiente: senza una strategia di sicurezza proattiva, ogni patch rischia di arrivare sempre un passo troppo tardi.
