Google ha rilasciato un nuovo aggiornamento di sicurezza per Chrome dopo aver confermato l’esistenza di una vulnerabilità zero-day già sfruttata. La falla, identificata come CVE-2026-125350, interessa la gestione della memoria del componente XML del browser. Si tratta dell’ottava vulnerabilità zero-day di Chrome corretta nel 2026 dopo la segnalazione di un suo sfruttamento. Ecco cosa sappiamo, quali sono i rischi e come proteggere il proprio dispositivo.
Il 9 novembre 2026 Google ha pubblicato un aggiornamento di sicurezza per il proprio browser, intervenendo su nove vulnerabilità. Tra queste compare la CVE-2026-125350, una falla classificata ad alta gravità e segnalata da un ricercatore anonimo il 6 novembre.
La notizia assume particolare rilevanza perché Google ha confermato che esiste già un exploit utilizzato al di fuori degli ambienti di ricerca e sperimentazione.
Non siamo quindi davanti a un problema scoperto soltanto durante un controllo di sicurezza. La vulnerabilità rappresenta una minaccia concreta, sebbene i dettagli sugli attacchi non siano ancora pubblici.
Secondo il bollettino ufficiale di Google Chrome, la correzione arriva con Chrome 157.0.8103.50 e 157.0.8103.51 per Windows e macOS, mentre Linux riceve la versione 157.0.8103.50.
Cos’è la vulnerabilità zero-day di Chrome CVE-2026-125350?
Per comprendere la gravità del problema bisogna partire dal significato di zero-day.
In informatica, questo termine identifica una vulnerabilità per la quale, al momento del suo sfruttamento, non è ancora disponibile una correzione adeguata. Gli aggressori possono approfittare della finestra temporale che precede la distribuzione dell’aggiornamento.
Nel caso di Google Chrome, la vulnerabilità CVE-2026-125350 appartiene alla categoria Use-After-Free, comunemente abbreviata in UAF.
Il problema interessa il componente responsabile della gestione dei contenuti XML, un linguaggio utilizzato per strutturare e organizzare informazioni digitali.
Il difetto riguarda quindi un meccanismo interno del browser, non una semplice impostazione modificabile dall’utente.
Come funziona una vulnerabilità Use-After-Free?
Un’applicazione utilizza continuamente la memoria del dispositivo per elaborare informazioni, gestire oggetti e svolgere operazioni.
Quando un programma non ha più bisogno di un determinato oggetto, può liberare la porzione di memoria precedentemente occupata.
In condizioni normali, il software deve evitare qualsiasi accesso non valido a quella memoria.
Una vulnerabilità Use-After-Free si verifica quando il programma tenta invece di utilizzare una risorsa già liberata.
Questo comportamento può provocare conseguenze differenti:
- arresti improvvisi dell’applicazione;
- alterazione o corruzione dei dati in memoria;
- comportamenti imprevisti del programma;
- nei casi più gravi, possibilità di eseguire codice non autorizzato.
L’impatto effettivo dipende da diversi fattori, tra cui la struttura della vulnerabilità e le protezioni attive nel browser e nel sistema operativo.
Nel caso specifico di CVE-2026-125350, Google non ha ancora pubblicato una descrizione tecnica completa dell’exploit. Pertanto, non possiamo affermare che gli aggressori abbiano effettivamente ottenuto il controllo completo dei computer colpiti.
Google conferma lo sfruttamento della falla: cosa sappiamo degli attacchi?
L’elemento più importante dell’annuncio riguarda la conferma dell’esistenza di un exploit attivo.
Google ha riconosciuto pubblicamente che la vulnerabilità CVE-2026-125350 viene sfruttata, ma ha scelto di non divulgare informazioni operative sugli attacchi.
Al 10 novembre 2026 non risultano confermati pubblicamente:
- l’identità degli aggressori;
- il numero di dispositivi compromessi;
- i Paesi eventualmente interessati;
- le modalità precise utilizzate per sfruttare la vulnerabilità;
- l’esistenza di campagne criminali specifiche collegate alla falla.
Questa assenza di informazioni non riduce l’importanza dell’aggiornamento. Indica, piuttosto, che bisogna distinguere i fatti accertati dalle possibili conseguenze tecniche.
Google ha inoltre precisato che alcune informazioni sulle vulnerabilità possono rimanere temporaneamente riservate fino a quando una parte consistente degli utenti non avrà installato le correzioni.
La scelta serve a limitare il rischio che ulteriori soggetti sfruttino i dettagli tecnici durante la distribuzione dell’aggiornamento.
Perché gli attacchi zero-day sono particolarmente pericolosi?
Un attacco zero-day presenta una caratteristica che lo distingue da molte minacce informatiche tradizionali: gli aggressori possono sfruttare una debolezza prima che gli utenti abbiano a disposizione una difesa specifica.
Un antivirus aggiornato, da solo, non può garantire una protezione completa contro ogni vulnerabilità sconosciuta.
Anche un comportamento prudente durante la navigazione non elimina tutti i rischi.
Per questo motivo, gli aggiornamenti di sicurezza rappresentano uno degli strumenti più importanti per proteggere computer e dispositivi mobili.
Chrome 157 corregge nove vulnerabilità: ecco quelle individuate
L’aggiornamento del 9 novembre 2026 non riguarda esclusivamente la CVE-2026-125350.
Google ha corretto complessivamente nove problemi di sicurezza: sette classificati ad alta gravità e due di gravità media.
| Vulnerabilità | Componente | Gravità |
|---|---|---|
| CVE-2026-125350 | XML – Use-After-Free | Alta |
| CVE-2026-125346 | XML – Use-After-Free | Alta |
| CVE-2026-125344 | Motore V8 – Type Confusion | Alta |
| CVE-2026-125348 | GPU – Scrittura fuori dai limiti | Alta |
| CVE-2026-125343 | Compositing – Buffer Overflow | Alta |
| CVE-2026-125347 | FileSystem – Autorizzazione errata | Alta |
| CVE-2026-125345 | WebGL – Risorsa non inizializzata | Alta |
| CVE-2026-125349 | GPU – Risorsa non inizializzata | Media |
| CVE-2026-125342 | GPU – Risorsa non inizializzata | Media |
Fonte: Google Chrome Releases, bollettino del 9 novembre 2026.
È importante distinguere le vulnerabilità elencate. Google ha confermato esplicitamente lo sfruttamento attivo della CVE-2026-125350, ma non ha fornito la medesima conferma per le altre otto falle dell’aggiornamento.
Perché una falla nel motore V8 o nella GPU può essere pericolosa?
Chrome non è soltanto uno strumento per visualizzare pagine web.
Al suo interno operano numerosi componenti che elaborano codice JavaScript, contenuti multimediali, grafica e dati provenienti dalle applicazioni online.
Il motore V8, per esempio, esegue JavaScript e supporta il funzionamento di numerosi servizi web moderni.
WebGL, invece, permette alle pagine di utilizzare funzionalità grafiche avanzate.
Una vulnerabilità in questi componenti può compromettere la sicurezza del browser. Tuttavia, l’effettivo livello di rischio dipende dal difetto specifico, dalla possibilità di sfruttarlo e dalle ulteriori difese presenti.
Come aggiornare Google Chrome e proteggersi dalla falla zero-day
La misura più importante consiste nell’installare la versione corretta di Chrome e completare il riavvio del browser.
La procedura richiede pochi passaggi.
- Aprire Google Chrome sul computer.
- Selezionare il menu con i tre puntini in alto a destra.
- Entrare nella sezione Guida.
- Selezionare Informazioni su Google Chrome.
- Attendere il controllo degli aggiornamenti disponibili.
- Premere Riavvia, se richiesto.
- Controllare nuovamente il numero di versione installato.
In alternativa, è possibile digitare chrome://settings/help direttamente nella barra degli indirizzi.
Google chiarisce che Chrome può scaricare gli aggiornamenti automaticamente. Tuttavia, il browser potrebbe richiedere un riavvio per applicarli.
La guida ufficiale di Google conferma che le schede e le finestre normali vengono generalmente ripristinate dopo il riavvio.
Quali versioni di Chrome sono aggiornate?
Le versioni indicate nei bollettini ufficiali del 9 novembre 2026 sono:
| Sistema o canale | Versione corretta |
|---|---|
| Windows – Stable | 157.0.8103.50 / 157.0.8103.51 |
| macOS – Stable | 157.0.8103.50 / 157.0.8103.51 |
| Linux – Stable | 157.0.8103.50 |
| Windows e macOS – Extended Stable | 156.0.8078.96 |
| Android – Stable | 157.0.8103.50 |
La versione Extended Stable riguarda un canale di aggiornamento distinto, utilizzato soprattutto in determinati contesti organizzativi.
Google ha pubblicato anche un aggiornamento per Chrome su Android, indicando che contiene le medesime correzioni di sicurezza della corrispondente versione desktop, salvo eccezioni specifiche.
Il rilascio avviene progressivamente. Di conseguenza, alcuni dispositivi potrebbero ricevere l’aggiornamento prima di altri.
Chi utilizza canali sperimentali o versioni differenti deve consultare i rispettivi avvisi ufficiali.
Microsoft Edge, Brave e Opera sono a rischio?
La vulnerabilità interessa un componente di Chrome, sviluppato nell’ambito del progetto Chromium.
Anche altri browser, tra cui Microsoft Edge, Brave, Opera e Vivaldi, utilizzano tecnologie derivate da Chromium.
Questo collegamento tecnico rende importante verificare gli aggiornamenti di ciascun prodotto.
Tuttavia, non sarebbe corretto affermare automaticamente che tutte le versioni di questi browser siano vulnerabili nello stesso modo.
Le differenze tra le implementazioni e i tempi di distribuzione delle correzioni possono incidere sulla situazione effettiva.
Gli utenti dovrebbero quindi controllare gli avvisi di sicurezza pubblicati dai rispettivi sviluppatori e installare gli aggiornamenti disponibili.
L’ottava zero-day di Chrome nel 2026: un problema sempre più evidente
Secondo le ricostruzioni pubblicate da BleepingComputer e SecurityWeek, la CVE-2026-125350 rappresenta l’ottava vulnerabilità zero-day di Chrome corretta nel 2026 dopo la segnalazione del suo sfruttamento.
Prima dell’ultimo aggiornamento, Google aveva già affrontato sette vulnerabilità sfruttate attivamente:
- CVE-2026-2441, corretta a febbraio;
- CVE-2026-3909 e CVE-2026-3910, corrette a marzo;
- CVE-2026-5281, corretta ad aprile;
- CVE-2026-11645, corretta a giugno;
- CVE-2026-85046 e CVE-2026-87491, corrette a settembre.
Questa sequenza evidenzia quanto i browser rappresentino un obiettivo importante per la sicurezza informatica.
Il motivo è semplice: attraverso Chrome e gli altri browser gli utenti accedono quotidianamente a servizi bancari, piattaforme aziendali, posta elettronica, documenti e applicazioni online.
Un programma utilizzato così frequentemente diventa inevitabilmente un bersaglio interessante per chi cerca nuove vulnerabilità.
Allo stesso tempo, il numero di falle corrette non misura automaticamente la sicurezza complessiva del prodotto. Può riflettere anche l’intensità dell’attività di ricerca, delle verifiche e delle correzioni.
Cosa devono fare le aziende per proteggersi?
La vulnerabilità zero-day di Chrome merita particolare attenzione anche negli ambienti professionali.
Un’azienda potrebbe utilizzare il browser per accedere a sistemi gestionali, piattaforme cloud, applicazioni amministrative e informazioni riservate.
Per questo motivo, i responsabili informatici dovrebbero verificare le versioni presenti sui dispositivi aziendali e assicurarsi che le correzioni siano state applicate.
Un piano di intervento dovrebbe comprendere il controllo degli aggiornamenti, il riavvio dei browser, la verifica dei dispositivi non aggiornati e il monitoraggio di eventuali comunicazioni successive di Google.
È inoltre utile prestare attenzione ai browser basati su Chromium installati sui computer aziendali.
La gestione degli aggiornamenti deve infatti riguardare tutti i programmi utilizzati per navigare, non soltanto il browser predefinito.
Per approfondire altri rischi legati ai software e ai servizi online, è possibile consultare anche il nostro articolo su PHP2Shell, i siti finiti offline e le conseguenze per la sicurezza informatica.
Una riflessione: quanto dipendiamo dalla sicurezza dei browser?
A mio avviso, questa vicenda mette in evidenza un aspetto spesso sottovalutato della nostra vita digitale.
Siamo abituati a considerare Chrome come una semplice finestra attraverso cui accedere a internet. In realtà, il browser è uno dei programmi più importanti presenti sui nostri dispositivi.
Attraverso una singola applicazione gestiamo comunicazioni, attività professionali e servizi che contengono informazioni di grande valore.
Il problema non riguarda soltanto Google. La crescente complessità dei browser moderni e la quantità di funzioni che svolgono aumentano anche il numero di componenti che devono essere protetti.
Non credo che la soluzione sia rinunciare a utilizzare determinati software ogni volta che emerge una vulnerabilità.
Ritengo invece necessario sviluppare una maggiore consapevolezza: la sicurezza informatica richiede manutenzione continua, controlli e aggiornamenti tempestivi.
La scoperta di una falla è certamente una notizia importante. Ma lo è altrettanto la capacità di un produttore di individuarla, correggerla e distribuire rapidamente una soluzione.
Conclusioni: aggiornare Chrome è la priorità
La vulnerabilità zero-day di Chrome CVE-2026-125350 rappresenta una minaccia concreta perché Google ha confermato l’esistenza di un exploit già utilizzato.
Al momento, tuttavia, non sono disponibili informazioni pubbliche sufficienti per attribuire gli attacchi a un gruppo specifico o per quantificare il numero delle vittime.
La correzione è già stata annunciata e viene distribuita attraverso gli aggiornamenti ufficiali del browser.
Per gli utenti la priorità è semplice: verificare la versione installata, aggiornare Google Chrome e riavviarlo per applicare le correzioni di sicurezza.
La prudenza non deve trasformarsi in allarmismo, ma nemmeno in disattenzione. In un contesto digitale sempre più complesso, anche un aggiornamento apparentemente ordinario può contribuire a prevenire rischi importanti.
Per conoscere meglio i termini utilizzati nel mondo della cybersecurity, è disponibile il Glossario della sicurezza informatica di Tiempolibre.