Ing. Calogero Bono
Lunedì 10 novembre 2026 Google ha rilasciato un aggiornamento di Chrome che corregge nove vulnerabilità, sette delle quali di gravità alta. Una, la CVE-2026-125350, risulta già sfruttata in attacchi reali ed è l'ottava zero-day di Chrome dall'inizio dell'anno. L'agenzia italiana ACN ha diffuso un alert tramite il CSIRT-ITA. Conta perché Chrome è il browser di lavoro di moltissime aziende e studi professionali.
Qualche termine, prima di entrare nei fatti. Zero-day è una falla sfruttata dagli attaccanti prima che esista una correzione. Use After Free è un errore di memoria, il programma usa un'area che aveva già liberato. Remote Code Execution significa eseguire codice scelto dall'attaccante, a distanza, sul tuo computer. CVE è il codice che identifica in modo univoco una vulnerabilità pubblica. CSIRT-ITA è il gruppo italiano che gestisce gli incidenti informatici.
Cosa è successo e che cosa corregge l'aggiornamento?
Secondo l'alert dell'ACN, Google ha corretto 9 nuove vulnerabilità, di cui 7 con gravità alta. Le tipologie indicate sono esecuzione di codice remoto, aggiramento delle restrizioni di sicurezza e negazione del servizio.
Tra le sette di gravità alta, solo la CVE-2026-125350 ha l'indicazione di sfruttamento presente. Per le altre sei, l'ACN non segnala exploit né prove di concetto.
Come funziona la falla nel componente XML?
La CVE-2026-125350 è un Use After Free nel componente XML. Come spiega BleepingComputer, il parser XML elabora i dati, elimina un oggetto dalla memoria ma non cancella il puntatore che l'indica.
Quando il browser torna a usare quell'area, l'attaccante può manipolare la memoria. Per l'ACN basta indurre l'utente a visitare una pagina web preparata allo scopo, e in certe circostanze si arriva a eseguire codice arbitrario.
Quali versioni di Chrome sono coinvolte e come si aggiorna?
Sono affette le versioni precedenti alla 157.0.8103.50/.51 per Windows e Mac, e precedenti alla 157.0.8103.50 per Linux. L'ACN raccomanda di aggiornare all'ultima versione disponibile.
Secondo The Hacker News, il percorso è Altro, Guida, Informazioni su Google Chrome, poi Riavvia. BleepingComputer riferisce che Chrome può anche installare l'aggiornamento da solo al riavvio successivo. Google avverte che l'arrivo a tutti può richiedere giorni o settimane.
Chi usa Edge, Brave, Opera o Vivaldi deve applicare le correzioni quando saranno disponibili.
Quante zero-day ha avuto Chrome nel 2026?
Con questa sono otto. BleepingComputer le elenca, la CVE-2026-2441 a metà febbraio, le CVE-2026-3909 e 3910 a marzo, la CVE-2026-5281 ad aprile, la CVE-2026-11645 a giugno e le CVE-2026-87491 e 85046 a settembre.
Quasi tutte riguardano componenti come V8, il motore JavaScript, o librerie grafiche. Nel 2025, ricorda la stessa testata, Google ne aveva corrette otto, molte segnalate dal suo Threat Analysis Group.
Limiti da conoscere
Google non ha spiegato come la falla venga sfruttata né chi sia dietro gli attacchi, e limita i dettagli del bug finché la maggioranza degli utenti non è aggiornata. Per la CVE-2026-125350 il punteggio CVSS non è disponibile. Un ricercatore anonimo l'ha segnalata il 6 novembre 2026. Le fonti non dicono quanti utenti siano stati colpiti.
Cosa cambia per chi lavora con il digitale
Per un'azienda il primo passo è verificare che tutti i computer abbiano Chrome alla versione 157.0.8103.50 o successiva, senza aspettare l'aggiornamento automatico. Se gestisci un'organizzazione con la console admin di Google Workspace, controlla le policy di aggiornamento dei browser. Ricorda anche i dipendenti che lavorano da casa o da dispositivi personali. Chi usa browser basati su Chromium deve seguire i rilasci dei rispettivi produttori.
Il nostro parere
Otto zero-day in dieci mesi mostrano che il browser è uno dei bersagli preferiti, perché ogni pagina web è un possibile ingresso. L'aggiornamento automatico aiuta, ma il margine di giorni o settimane dichiarato da Google è un rischio concreto per chi gestisce molte postazioni. Trattare il browser come un software critico, con controlli di versione regolari, costa poco rispetto a un incidente. Bene la rapidità di Google, meno la scarsità di dettagli.
Domande frequenti
La CVE-2026-125350 è già sfruttata?
Sì. Google ha dichiarato di essere a conoscenza di un exploit in circolazione. Non ha però condiviso dettagli sugli attacchi.
Quale versione di Chrome devo avere?
Almeno la 157.0.8103.50 su Linux e la 157.0.8103.50/.51 su Windows e Mac. Le versioni precedenti sono vulnerabili.
Come aggiorno Chrome a mano?
Apri Altro, poi Guida, poi Informazioni su Google Chrome e scegli Riavvia. Il browser scarica e installa la versione nuova.
Devo aggiornare anche Edge o Brave?
Sì, appena i produttori rilasciano le correzioni. Sono browser basati su Chromium e The Hacker News consiglia di applicarle quando disponibili.
Basta visitare un sito per essere colpiti?
Secondo l'ACN, l'attaccante deve indurre l'utente a visitare una pagina preparata. Da lì può causare corruzione della memoria e, in certi casi, eseguire codice.
Cosa guardare nei prossimi giorni su Chrome e sui browser Chromium
La partita si gioca sui tempi di distribuzione e sui dettagli che Google libererà. Conviene restare attenti agli sviluppi.
- Controlla quando Edge, Brave, Opera e Vivaldi pubblicano la correzione e aggiorna subito.
- Segui gli aggiornamenti dell'ACN e di Google, che potrebbero rivelare i dettagli dell'exploit.
- Leggi anche gli aggiornamenti di sicurezza Apple del 9 novembre, per non lasciare scoperti altri dispositivi.
