Google aggiorna Chrome: chiusa la quinta falla zero-day del 2026

Google ha pubblicato un aggiornamento di emergenza per il suo browser Chrome, risolvendo una grave vulnerabilità 0-day già sfruttata attivamente sul campo. Identificata come CVE-2026-11645, questa è la quinta falla di sicurezza di questo tipo che l'azienda si è trovata a mitigare dall'inizio dell'anno, confermando una tendenza preoccupante nel panorama delle minacce informatiche che puntano direttamente ai browser web.

La criticità risiede in una debolezza di tipo out-of-bounds read and write, localizzata nel motore JavaScript V8 di Chrome. Attraverso pagine HTML appositamente create, un attaccante remoto può sfruttare questa falla per eseguire codice arbitrario all'interno del sandbox del browser. Le conseguenze sono tutt'altro che trascurabili: una compromissione efficace apre infatti la strada all'accesso non autorizzato a dati oltre i limiti del buffer di memoria, tramite fenomeni di heap corruption. Questo può tradursi in esposizione di informazioni sensibili o nel blocco improvviso del sistema. La minaccia si manifesta anche nella sua capacità di bypassare meccanismi di protezione come l'ASLR (Address Space Layout Randomization), facilitando ulteriori attacchi per l'esecuzione di codice.

Google corregge la quinta falla 0-day dell'anno su Chrome

Google ha prontamente distribuito l'aggiornamento per gli utenti del canale Stable Desktop, interessando le versioni 149.0.7827.102 per Windows e Linux, e 149.0.7827.103 per Mac. La patch è stata rilasciata a distanza di due settimane dalla segnalazione, avvenuta da parte di un ricercatore di sicurezza rimasto anonimo. Nonostante Google abbia comunicato che la diffusione dell'update potrebbe richiedere giorni o settimane per raggiungere tutti gli utenti, attraverso un'installazione manuale può essere applicata immediatamente.

L'azienda ha preferito mantenere un riserbo sui dettagli specifici degli exploit che hanno sfruttato la CVE-2026-11645. Questa politica di limitazione dell'accesso alle informazioni è volta a garantire che la maggior parte degli utenti abbia il tempo di installare la correzione prima che ulteriori dettagli possano essere utilizzati per sferrare nuovi attacchi. Una misura necessaria per minimizzare fenomeni critici per l'utenza globale, ma che limita la piena trasparenza sugli incidenti.

Questa quinta falla segue una serie di altri difetti critici risolti da Google nel 2026, evidenziando una rincorsa costante alla bonifica di vulnerabilità attivamente sfruttate. Già a metà febbraio, Google aveva corretto la CVE-2026-2441, un bug di invalidazione dell'iteratore in CSSFontFeatureValuesMap. A marzo, sono state risolte altre due zero-day: la CVE-2026-3909, una debolezza di out-of-bounds write nella libreria grafica 2D Skia, e la CVE-2026-3910, una vulnerabilità di implementazione inappropriata nel motore V8 JavaScript e WebAssembly. Infine, ad aprile, è stata la volta della CVE-2026-5281, una debolezza di use-after-free in Dawn, l'implementazione cross-platform dello standard WebGPU utilizzato dal progetto Chromium.

La sicurezza del browser rimane in ogni caso una priorità costante. Lo scorso anno, Google aveva corretto otto 0-day sfruttate sul campo, molte delle quali segnalate dal suo Threat Analysis Group (TAG), un'unità di alto profilo specializzata nell'identificazione e nel tracciamento di exploit zero-day utilizzati in attacchi di spyware.