Chrome sotto attacco: basta una pagina Web, aggiornate subito

Una pagina Web preparata ad arte può bastare per colpire un utente di Chrome: Google ha corretto una nuova vulnerabilità zero-day individuata in V8, motore JavaScript e WebAssembly integrato nel browser che esegue e ottimizza il codice delle pagine Web. È un componente cruciale: da V8 dipendono gran parte delle applicazioni Web moderne e, proprio perché elabora continuamente codice proveniente da Internet, una falla al suo interno può diventare un punto d’ingresso particolarmente pericoloso.

La problematica di sicurezza in questione, identificata come CVE-2026-85046, ha ricevuto una valutazione CVSS di 8,8 su 10. Non serve necessariamente scaricare un file o confermare l’esecuzione di un programma: il passaggio decisivo può coincidere semplicemente con l’apertura di una pagina HTML controllata dall’aggressore.

CVE-2026-85046 è il sesto zero-day di Chrome corretto da Google dall’inizio del 2026 secondo il conteggio delle vulnerabilità già sfruttate pubblicamente. Il browser di casa Google adotta numerosi livelli di isolamento ma il codice che interpreta JavaScript continua a rappresentare una superficie d’attacco vasta e continuamente sollecitata.

Chrome 152 corregge CVE-2026-85046: quali versioni installare

Google ha distribuito la correzione con Chrome 152.0.7977.82/83 per Windows e macOS e con la versione 152.0.7977.82 per Linux. Il rilascio è iniziato il 3 settembre 2026 e, come accade normalmente con Chrome, procede gradualmente nell’arco di alcuni giorni o settimane.

Chi utilizza Chrome può verificare immediatamente la versione installata aprendo il menu principale del browser (tre puntini n colonna a destra della barra degli indirizzi) e scegliendo Guida, Informazioni su Google Chrome: la visita alla pagina delle informazioni forza anche il controllo sulla disponibilità degli aggiornamenti.

Dopo l’installazione serve riavviare Chrome: lasciare semplicemente l’aggiornamento scaricato senza chiudere e riaprire il browser significa continuare a utilizzare il vecchio processo con il codice vulnerabile caricato in memoria.

Il rilascio non corregge soltanto CVE-2026-85046. Chrome 152 contiene complessivamente 12 correzioni di sicurezza: dieci riguardano problemi classificati con gravità elevata e due vulnerabilità di livello medio. Tra i componenti coinvolti compaiono V8, WebGL, Skia, DevTools, CacheStorage, Network, Compositing e il sistema di crash reporting.

Che cos’è una type confusion e perché può diventare pericolosa

Google descrive CVE-2026-85046 come una type confusion: il software crea o inizializza una risorsa assumendo che appartenga a un certo tipo e successivamente la utilizza come se appartenesse a un tipo incompatibile.

Una parte del programma può ritenere di trovarsi davanti a un determinato oggetto JavaScript mentre la memoria contiene qualcosa di differente. Le strutture interne non coincidono più con ciò che il codice si aspetta; offset, puntatori o campi possono quindi assumere un significato diverso da quello previsto.

MITRE classifica questa categoria come CWE-843 e segnala conseguenze che possono comprendere letture o scritture fuori dai limiti della memoria, crash del processo e, nei casi più seri, esecuzione di codice non autorizzato. È proprio questo genere di primitive che rende le vulnerabilità type confusion particolarmente interessanti nello sfruttamento dei motori JavaScript.

V8 complica ulteriormente il quadro perché non si limita a interpretare JavaScript istruzione per istruzione. Il motore utilizza diversi livelli di compilazione e ottimizzazione, mantiene informazioni sui tipi osservati durante l’esecuzione e tenta di generare codice macchina sempre più efficiente. Basta un’ipotesi sbagliata sulla struttura effettiva di un oggetto perché un’ottimizzazione valida in condizioni normali possa trasformarsi in un accesso alla memoria non previsto.

La sandbox di Chrome limita l’impatto, ma non rende innocua la falla

Una vulnerabilità in V8 non equivale automaticamente a concedere all’aggressore il controllo completo del computer.

Il codice JavaScript dei siti gira all’interno di un processo renderer isolato dalla sandbox di Chrome, progettata proprio per impedire che la compromissione del motore del browser si trasformi direttamente nell’accesso indiscriminato al sistema operativo.

Un exploit efficace contro CVE-2026-85046 può quindi consentire l’esecuzione di codice all’interno del renderer compromesso, ma per uscire dai limiti imposti da Chrome e arrivare alle risorse protette del sistema potrebbe servire una seconda vulnerabilità: il classico sandbox escape. Molte campagne avanzate costruiscono infatti una catena di exploit nella quale il primo bug ottiene il controllo del renderer e il secondo supera il confine di sicurezza verso processi con maggiori privilegi.

Google dichiara tuttavia di essere a conoscenza dell’esistenza di un exploit per CVE-2026-85046 “in the wild“: significa che non si tratta soltanto di un difetto dimostrato in laboratorio.

La vulnerabilità è stata segnalata a Google il 4 agosto 2026 dal ricercatore Salvatore Gulizia, conosciuto anche come Serotav, che ha ricevuto una ricompensa di 1.000 dollari nell’ambito del programma bug bounty di Chrome. Poco meno di un mese dopo è arrivata la correzione pubblica.

Google non ha indicato chi stia sfruttando il bug, quali siano gli obiettivi né se gli attacchi appartengano a una singola campagna. Mancano anche informazioni sull’eventuale presenza di una seconda vulnerabilità capace di superare la sandbox. In ogni caso, è opportuno affrettarsi con l’installazione dell’aggiornamento.