Google ha corretto un altro bug di memoria di Chrome che gli attaccanti stavano già sfruttando, portando il bilancio di quest'anno degli zero-day di Chrome attivamente sfruttati a otto. L'ultimo aggiornamento zero-day di Chrome 2026 segue un copione familiare: viene scoperta una vulnerabilità sfruttata in the wild, Google rilascia una patch e agli utenti viene detto di aggiornare e riavviare. I dettagli dell'ultima vulnerabilità sono scarni nella copertura che abbiamo, quindi questo post si concentra su cosa significa questo schema e su cosa dovresti fare al riguardo.
Perché Chrome Continua a Ricevere Zero-Day Quest'Anno
Otto zero-day in un solo anno sono molti per un singolo browser, e il conteggio continua a salire. Poco prima di questo, abbiamo trattato come Chrome 153 abbia corretto il settimo zero-day del 2026. Ora ce n'è un ottavo.
Il filo conduttore sono i bug di memoria. Chrome è una base di codice enorme che gestisce contenuti non attendibili da ogni sito web che visiti, e gran parte di essa è scritta in linguaggi in cui sono possibili errori nella gestione della memoria. Quando un errore sfugge, a volte può essere trasformato in un'arma. Questo rende il browser un bersaglio costante.
Uno "zero-day" significa che gli attaccanti sono arrivati primi. Il fornitore non aveva una patch disponibile quando è iniziato lo sfruttamento, quindi non c'era alcuna finestra in cui gli utenti avrebbero potuto proteggersi aggiornando. Ecco perché la correzione, una volta che esiste, è così importante.
Cosa Possono Fare gli Attaccanti con un Bug di Memoria Sfruttato
Le vulnerabilità di sicurezza della memoria in genere consentono a un attaccante di far comportare il browser in modi che i suoi progettisti non avevano mai previsto. In pratica, ciò può significare l'esecuzione di codice malevolo sul tuo dispositivo dopo che hai semplicemente visitato una pagina boobytrapped. Le capacità esatte dipendono dal bug specifico e dal fatto che sia abbinato ad altre vulnerabilità.
Vale la pena comprendere questo abbinamento. I browser moderni isolano i contenuti web in una sandbox, quindi un singolo bug spesso non è sufficiente per un compromesso completo. Gli attaccanti a volte combinano diverse vulnerabilità per uscire dalla sandbox. Abbiamo esaminato questo aspetto nel nostro report su una catena zero-day di Chrome che evade la sandbox, che mostra come bug separati possano essere assemblati in un unico exploit funzionante.
Il punto chiave per gli utenti quotidiani: non devi scaricare nulla né cliccare su un prompt sospetto perché un exploit del browser abbia effetto. Il semplice caricamento di contenuti può essere sufficiente, ed è per questo che questi bug vengono presi sul serio anche quando i dettagli pubblici sono scarsi.
Perché una VPN Non Ferma gli Exploit del Browser
È facile presumere che gli strumenti per la privacy coprano tutto. Non è così. Una VPN cripta il traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questo è utile per la privacy su reti non attendibili, ma opera a livello di rete.
Un exploit del browser avviene all'interno del browser stesso. Se una pagina malevola attiva un bug di memoria in Chrome, il tunnel VPN sta semplicemente trasportando la pagina fino a te, exploit incluso. La crittografia non ispeziona né neutralizza ciò che la pagina fa una volta che Chrome la renderizza.
Questo non è un argomento contro l'uso di una VPN per le cose per cui è progettata. È un promemoria che strumenti diversi risolvono problemi diversi. Per le vulnerabilità del browser, la difesa rilevante è la patch.
Come Verificare che Chrome Sia Completamente Aggiornato
Chrome di solito si aggiorna da solo in background, ma la correzione si applica solo dopo il riavvio del browser. Molte persone lasciano Chrome aperto per giorni o settimane, il che può lasciare un divario tra patch scaricata e patch applicata.
- Apri Chrome e clicca sul menu a tre punti nell'angolo in alto a destra.
- Vai su Guida, poi su Informazioni su Google Chrome.
- Lascia che Chrome verifichi la presenza di aggiornamenti. Se uno è disponibile, verrà scaricato automaticamente.
- Clicca su Riavvia quando richiesto. Le tue schede vengono generalmente ripristinate in seguito.
- Riapri la pagina Informazioni per confermare che dica che Chrome è aggiornato.
Se gestisci dispositivi per una famiglia o un piccolo team, ripeti questa operazione su ogni computer e telefono che utilizza Chrome. Anche i browser basati sullo stesso motore potrebbero ricevere le proprie correzioni, quindi controllali anche tu.
Le scadenze delle patch possono essere importanti anche nelle organizzazioni. La nostra copertura della scadenza del 18 settembre di CISA per uno zero-day di Chrome è un buon esempio di quanto rapidamente possano cambiare le indicazioni una volta confermato lo sfruttamento.
Cosa Significa Per Te
Per la maggior parte delle persone, il rischio di qualsiasi singolo zero-day è basso, e il rimedio è rapido. Ma il flusso costante di correzioni quest'anno suggerisce che trattare gli aggiornamenti del browser come facoltativi sia un errore. Gli attaccanti stanno chiaramente trovando e usando bug di Chrome prima che esistano le patch, quindi il tempo tra il rilascio di una correzione e la sua applicazione è la parte che controlli tu.
Alcune abitudini pratiche aiutano:
- Riavvia Chrome regolarmente. Un aggiornamento scaricato non fa nulla finché non riavvii.
- Controlla la pagina Informazioni ogni volta che vedi notizie di un nuovo zero-day di Chrome.
- Mantieni aggiornato anche il tuo sistema operativo, poiché gli exploit del browser a volte sono concatenati con altre vulnerabilità.
- Usa una VPN per ciò che fa bene, come proteggere il traffico su Wi-Fi pubblici, ma non contare su di essa per bloccare gli attacchi del browser.
In Sintesi: Aggiorna e Riavvia Ora
L'ultimo aggiornamento zero-day di Chrome 2026 è un altro promemoria che la protezione più efficace contro gli exploit del browser è un browser aggiornato. Apri ora la pagina Informazioni di Chrome, installa l'ultimo aggiornamento e riavvia. Per un contesto su come si sono accumulati i problemi di quest'anno, leggi il nostro report precedente su Chrome 153 e la sua settima correzione zero-day. Richiede meno di un minuto e chiude la porta su un bug che gli attaccanti stavano già usando.
