Chrome 153, falla zero-day già sfruttata: bisogna aggiornare subito

Google ha distribuito Chrome 153 con una correzione particolarmente urgente: CVE-2026-87491, vulnerabilità del motore JavaScript V8 per la quale l’azienda conferma l’esistenza di un exploit già utilizzato in attacchi reali. È il settimo zero-day di Chrome corretto nel 2026, con una sequenza iniziata a febbraio: ancora una volta gli aggressori hanno concentrato l’attenzione su un componente che elabora contenuti web provenienti da fonti non attendibili e che, per sua natura, rappresenta una superficie d’attacco particolarmente esposta.

L’aggiornamento dell’8 settembre 2026 porta il ramo stabile alla versione 153.0.8010.36/.37 su Windows e macOS e alla 153.0.8010.36 su Linux. Google parla complessivamente di 230 correzioni di sicurezza incluse nel passaggio a Chrome 153, anche se CVE-2026-87491 merita un’attenzione diversa perché non si tratta di una falla soltanto teorica o scoperta durante attività di auditing: esiste codice capace di sfruttarla “in the wild“. Chi continua a usare una versione precedente del browser resta esposto a una tecnica che qualcuno ha già trasformato in un attacco funzionante.

La falla CVE-2026-87491 colpisce ancora una volta il motore V8

La vulnerabilità riguarda V8, il motore che Chrome e Chromium utilizzano per eseguire JavaScript e WebAssembly. Google la descrive come una “out of bounds write“, cioè una scrittura oltre i limiti dell’area di memoria che il programma avrebbe dovuto utilizzare.

Un’applicazione dovrebbe scrivere dati esclusivamente all’interno del buffer assegnato; se un controllo sulle dimensioni, su un indice o su un riferimento risulta errato, determinati byte possono finire in zone di memoria adiacenti. La scrittura di dati fuori limite può alterare strutture dati interne, puntatori e oggetti dell’heap fino a modificare il normale flusso di esecuzione del processo.

Nel caso di specie, come conferma Google, un aggressore remoto può arrivare a eseguire codice arbitrario all’interno della sandbox mediante una pagina HTML appositamente preparata. La vulnerabilità non equivale, da sola, a una completa compromissione del sistema operativo.

Chrome separa infatti i processi che elaborano le pagine Web dal resto del sistema tramite una sandbox che limita l’accesso a file, dispositivi e risorse privilegiate. Ottenere esecuzione di codice nel renderer rappresenta comunque un passaggio molto serio; per uscire dal perimetro imposto dal browser e arrivare al sistema sottostante, un attaccante potrebbe concatenare CVE-2026-87491 con una seconda vulnerabilità capace di ottenere una sandbox escape o un aumento dei privilegi.

Le campagne più sofisticate funzionano proprio così: non cercano necessariamente una singola falla capace di fare tutto, ma costruiscono una catena nella quale un primo exploit compromette il motore del browser e un secondo supera le barriere di isolamento.

Google conferma gli attacchi ma non racconta ancora come funzionano

La formula utilizzata da Google racconta come l’azienda sia “a conoscenza dell’esistenza di un exploit per CVE-2026-87491“. Non sappiamo però, almeno per ora, chi lo stia usando, contro quali bersagli, attraverso quali siti o documenti e se faccia parte di una catena di exploit più ampia.

La segnalazione della vulnerabilità risulta attribuita a Jihyeon Jeong, ricercatore del Compsec Lab della Seoul National University, indicato nella documentazione Chromium anche come ricercatore interno. La scheda ufficiale di Google riporta come data della segnalazione il 6 agosto 2026: la cronologia pubblicata dall’azienda colloca quindi la segnalazione circa un mese prima dell’aggiornamento appena distribuito.

Google mantiene per il momento limitato l’accesso ai dettagli del bug e ad alcune informazioni tecniche. È una pratica normale quando la maggior parte degli utenti non ha ancora ricevuto la patch: pubblicare subito un proof-of-concept completo o indicazioni dettagliate è una pratica che potrebbe facilitare lo sviluppo di nuovi exploit mentre milioni di installazioni risultano ancora vulnerabili.

Chrome 153 corregge 230 problemi di sicurezza

L’aggiornamento non si limita allo zero-day del quale abbiamo parlato: Google indica ben 230 correzioni di sicurezza nel rilascio di Chrome 153 in versione stabile.

Tra le vulnerabilità elencate compaiono anche problemi critici come use-after-free e scritture fuori limite in WebGL, buffer overflow, oltre a numerosi bug importanti distribuiti in ANGLE, il livello che traduce le chiamate grafiche WebGL verso le API disponibili sul sistema operativo; in PDFium, il motore usato da Chrome per visualizzare i PDF; in Dawn, l’implementazione di WebGPU adottata da Chromium.

Google segnala inoltre falle nei DevTools, gli strumenti di sviluppo integrati nel browser, nei componenti che gestiscono le comunicazioni di rete e nello stesso motore JavaScript V8.

Con Chrome 153 cambia anche il ritmo degli aggiornamenti che, d’ora in avanti saranno più frequenti: una nuova versione stabile del browser arriverà ogni 2 settimane.

Come verificare subito se Chrome è aggiornato

Google distribuisce Chrome 153 progressivamente, ma chi non vuole attendere il rollout automatico può aprire il menu principale del browser e scegliere Guida, Informazioni su Google Chrome. La pagina interna equivalente è chrome://settings/help: Chrome controlla la presenza di aggiornamenti, scarica la nuova build e chiede di riavviare il browser quando necessario.

Su Windows e macOS occorre portarsi almeno al ramo 153.0.8010.36/.37 indicato da Google; su Linux la versione stabile iniziale corretta è 153.0.8010.36. Se il browser propone una build successiva, va installata quella: le versioni di sicurezza evolvono rapidamente.

In ambito aziendale è consigliabile verificare anche le policy che regolano gli aggiornamenti automatici di Chrome. Bloccare per settimane una major release può avere conseguenze serie: un compromesso ragionevole consiste nel testare rapidamente le applicazioni web critiche su un gruppo ristretto di sistemi e accelerare subito dopo la distribuzione della versione corretta.

Anche gli altri browser Chromium meritano attenzione

Una vulnerabilità in V8 non riguarda concettualmente soltanto Google Chrome. Microsoft Edge, Brave, Opera, Vivaldi e numerosi altri browser utilizzano Chromium e quindi condividono parti importanti del motore JavaScript e del codice sottostante.

Ciò non significa che il numero di versione di Chrome possa essere confrontato direttamente con quello degli altri browser, né che ogni prodotto risulti vulnerabile nelle stesse condizioni. I rispettivi sviluppatori integrano le patch Chromium secondo calendari propri. Per chi utilizza un browser derivato da Chromium, la scelta corretta consiste quindi nel verificare la disponibilità dell’ultima release distribuita dal produttore.