Google corregge un bug di Chrome sfruttato attivamente

Google ha rilasciato Chrome 153 per chiudere una vulnerabilità di alta gravità che gli attaccanti stavano già sfruttando attivamente, segnando il settimo zero-day corretto per il browser quest'anno. L'aggiornamento, in fase di distribuzione per Windows, Mac e Linux, risolve una falla nel motore JavaScript V8 di Chrome, il componente responsabile dell'esecuzione del codice alla base di quasi ogni sito web che visiti. Oltre allo zero-day, questa release include segnalatamente correzioni per 230 vulnerabilità in totale, uno dei pacchetti di patch più corposi che Chrome abbia distribuito a memoria recente.

L'avviso di Google conferma che l'azienda è a conoscenza di segnalazioni secondo cui esiste un exploit per la falla attivamente sfruttato, linguaggio standard per un bug già utilizzato contro utenti reali prima che fosse disponibile una patch. Come da prassi tipica, Google ha omesso i dettagli tecnici completi sul funzionamento della vulnerabilità finché la maggior parte degli utenti non avrà avuto il tempo di aggiornare, riducendo la possibilità che altri attaccanti decodifichino l'exploit a partire dalle note della patch.

Uno zero-day di Chrome sta diventando un titolo familiare

Ciò che rende notevole questa divulgazione non è solo il singolo bug. È il pattern. Questo è il settimo zero-day di Chrome sfruttato attivamente e corretto finora nel 2026, un ritmo che mette il browser sulla buona strada per eguagliare o superare i totali degli anni precedenti. Ognuno di questi incidenti ha seguito un ritmo simile: una corruzione della memoria o un difetto logico nel motore di rendering o di scripting di Chrome, prove di sfruttamento attivo, e una patch rapida distribuita a miliardi di installazioni in tutto il mondo.

Il motore V8, dove risiede quest'ultimo bug, è stato un obiettivo ricorrente perché elabora codice non attendibile da ogni pagina web che un utente apre. Una falla in quel punto può potenzialmente consentire a un attaccante di eseguire codice sulla macchina della vittima semplicemente inducendola a visitare un sito malevolo o compromesso, senza bisogno di download o installazione. Questo rende le vulnerabilità dei browser uno strumento attraente sia per i cybercriminali sia per attori più sofisticati che conducono campagne mirate.

La frequenza di queste divulgazioni riflette anche una tendenza più ampia in tutta l'industria del software. I fornitori distribuiscono cicli di patch più grandi e più frequenti man mano che attaccanti e difensori investono entrambi maggiormente nella ricerca sulle vulnerabilità. Il Patch Tuesday di settembre 2026 di Microsoft ha stabilito un record con 966 correzioni in un'unica release, sottolineando quanto gran parte dell'infrastruttura di Internet moderna necessiti di manutenzione costante. Browser, sistemi operativi e software aziendali fanno tutti parte della stessa superficie d'attacco, e gli zero-day in uno qualsiasi di essi possono propagarsi in incidenti più ampi, del tipo catalogato nei resoconti sulla serie di cyberattacchi di agosto 2026.

Cosa significa per te

Per la maggior parte degli utenti di Chrome, il rischio immediato da questa specifica falla è limitato, a condizione che l'aggiornamento venga installato prontamente. Chrome in genere si aggiorna automaticamente in background, ma vale la pena verificarlo manualmente anziché dare per scontato che sia già avvenuto, in particolare su macchine che vengono riavviate di rado o su dispositivi aziendali gestiti dove gli aggiornamenti possono essere ritardati dalle policy IT.

Il messaggio più importante riguarda le abitudini, non solo questa singola patch. Zero-day come questo sono spesso accompagnati da ingegneria sociale per indurre le vittime a cliccare in primo luogo su un link malevolo. Gli attaccanti utilizzano sempre più spesso messaggi convincenti e ben confezionati per favorire quel primo clic, una tattica esplorata in un recente resoconto sullo spear phishing potenziato dall'IA su larga scala. Un browser completamente aggiornato chiude una porta, ma restare vigili su link sospetti e allegati inattesi ne chiude un'altra.

Vale anche la pena ricordare che un exploit del browser è spesso solo il punto di ingresso. Una volta che gli attaccanti ottengono un punto d'appoggio, l'obiettivo è frequentemente raccogliere credenziali o dati personali che possono alimentare violazioni più ampie, del tipo riflesso nelle centinaia di milioni di notifiche di violazione già registrate nel bilancio delle violazioni di dati del 2026.

Azioni concrete da intraprendere

Per proteggerti in seguito a questa divulgazione dello zero-day di Chrome, adotta oggi alcuni semplici passaggi. Apri il menu di Chrome, vai su Aiuto, poi su Informazioni su Google Chrome, e lascia che il browser cerchi e installi gli aggiornamenti automaticamente, quindi riavvia il browser per completare il processo. Verifica di utilizzare la versione 153 o successiva. Abilita gli aggiornamenti automatici in futuro, così che le patch future, incluse quelle che risolvono futuri zero-day, si installino senza ritardo. Infine, tratta link e allegati inattesi con scetticismo, poiché sfruttare una falla del browser di solito richiede comunque di indurre un utente a visitare prima una pagina malevola.

Con sette zero-day di Chrome sfruttati attivamente e corretti solo nel 2026, restare al passo con gli aggiornamenti del browser non è più manutenzione opzionale. È una delle difese più semplici ed efficaci a disposizione degli utenti quotidiani.