Zero-Day di Chrome CVE-2026-85046: la scadenza del 18 settembre della CISA

Un bug di Chrome che gli attaccanti stavano già usando

Google ha corretto un altro zero-day di Chrome sfruttato attivamente, e il tempo stringe per chiunque non abbia aggiornato. La falla, tracciata come CVE-2026-85046, è stata corretta il 4 settembre 2026, ma la Cybersecurity and Infrastructure Security Agency (CISA) statunitense l'ha già aggiunta al suo catalogo delle vulnerabilità note e sfruttate (KEV), dando alle agenzie federali fino al 18 settembre per applicare la patch. Questa finestra così breve è un forte segnale di quanto seriamente le autorità di sicurezza stiano trattando questo bug, ed è un promemoria del fatto che anche gli utenti comuni di Chrome non dovrebbero aspettare.

Non è la prima volta che questa specifica vulnerabilità finisce sulle prime pagine. Come abbiamo raccontato quando la patch dello zero-day di Chrome CVE-2026-85046 è stata distribuita per la prima volta, Google ha rilasciato un aggiornamento d'emergenza dopo aver confermato che attacchi nel mondo reale stavano già sfruttando la falla prima che fosse disponibile una correzione. La scadenza della CISA aggiunge un ulteriore livello di urgenza a una vicenda che stava già correndo veloce.

Cosa rende pericolosa CVE-2026-85046

CVE-2026-85046 risiede in V8, il motore JavaScript e WebAssembly che alimenta Chrome e ogni browser basato su Chromium. Nello specifico, si tratta di una vulnerabilità di type confusion, una classe di bug in cui il browser identifica erroneamente il tipo di dati che sta gestendo, il che può consentire agli attaccanti di manipolare la memoria in modi mai previsti. In pratica, ciò significa che una pagina web appositamente costruita può attivare la falla e potenzialmente ottenere l'esecuzione di codice arbitrario all'interno della sandbox del browser, l'ambiente isolato che Chrome utilizza per impedire ai contenuti malevoli di toccare il resto del sistema.

Poiché la vulnerabilità era già stata sfruttata nel wild prima che Google distribuisse una correzione, si qualifica come un vero zero-day. Gli attaccanti non hanno avuto bisogno di fare reverse engineering della patch per capire come abusare del bug; lo stavano già usando contro obiettivi reali. È proprio per questo che la CISA si è mossa rapidamente per aggiungerlo al catalogo KEV, un elenco riservato alle vulnerabilità con sfruttamento confermato e attivo, non a un rischio teorico.

La correzione è arrivata come parte di un più ampio rilascio di sicurezza di Chrome che affrontava molteplici vulnerabilità, ma CVE-2026-85046 si è distinta per il suo stato di sfruttamento attivo. Come abbiamo dettagliato nella nostra precedente copertura che invitava gli utenti ad aggiornare Chrome ora a causa del rischio per la privacy, uno sfruttamento riuscito potrebbe potenzialmente esporre l'attività di navigazione, i dati di sessione o altre informazioni sensibili a un attaccante che ottiene l'esecuzione di codice all'interno del tuo browser.

Perché la scadenza della CISA conta anche al di fuori delle reti governative

Il catalogo KEV della CISA è tecnicamente un mandato per le agenzie civili federali, ma il suo impatto nel mondo reale va molto oltre. Quando la CISA fissa una scadenza rigida come il 18 settembre, sta di fatto trasmettendo una valutazione del rischio all'intero settore della sicurezza: questo bug è serio, viene attivamente usato, e organizzazioni di ogni dimensione dovrebbero trattare la sua correzione come una priorità, non come un aggiornamento di routine da fare prima o poi.

Molte imprese, reparti IT e team di sicurezza al di fuori del governo usano il catalogo KEV come riferimento per le proprie tempistiche di gestione delle patch. Se una vulnerabilità entra nell'elenco, tipicamente salta in cima alla coda. Per i singoli utenti non esiste una scadenza formale, ma vale la stessa logica. Chrome si aggiorna silenziosamente in background per la maggior parte degli utenti, ma questo funziona solo se il browser ha la possibilità di riavviarsi e applicare l'aggiornamento. Se hai le stesse schede di Chrome aperte da giorni o settimane senza riavviare, potresti stare ancora eseguendo una versione vulnerabile.

Cosa significa questo per te

Se usi Chrome, o qualsiasi browser basato su Chromium che eredita lo stesso motore V8, vale la pena dedicarci cinque minuti di attenzione oggi. L'exploit non richiede di scaricare un file o cliccare su un link sospetto nel senso tradizionale; semplicemente visitare una pagina web malevola o compromessa potrebbe essere sufficiente per attivarlo. Questo rende l'aggiornamento del browser una delle poche attività di sicurezza in cui la correzione è interamente sotto il tuo controllo e non richiede quasi alcuno sforzo.

Gli utenti domestici, le piccole imprese e chiunque gestisca i propri dispositivi dovrebbero trattare questo allo stesso modo in cui la CISA tratta le reti federali: come una priorità, non come un compito da fare un giorno. La buona notizia è che, a differenza di molte vulnerabilità, questa ha già una correzione disponibile e in attesa.

Azioni concrete da intraprendere

• Apri il menu di Chrome, vai su Aiuto > Informazioni su Google Chrome e lascia che controlli la presenza di aggiornamenti. Riavvia il browser una volta scaricato l'aggiornamento per assicurarti che la patch abbia effettivamente effetto.
• Controlla gli aggiornamenti di sicurezza dei browser basati su Chromium che usi (inclusi quelli costruiti sullo stesso motore), poiché anche loro possono essere interessati dalla falla sottostante in V8.
• Non affidarti esclusivamente agli aggiornamenti automatici in background se chiudi o riavvii raramente il browser. Avviare manualmente un controllo ti assicura di non stare eseguendo codice obsoleto e vulnerabile.
• Se gestisci dispositivi per un'azienda o un'organizzazione, dai priorità a questa patch come suggerisce la scadenza KEV della CISA per le agenzie federali, anche se non sei vincolato alla stessa data del 18 settembre.
• Resta vigile rispetto ai futuri bollettini di sicurezza di Chrome. Gli zero-day come CVE-2026-85046 tendono ad arrivare a grappoli, e l'applicazione tempestiva delle patch resta la difesa più affidabile disponibile per gli utenti comuni.

Aggiornare il tuo browser richiede solo un momento, ma chiude la porta su una vulnerabilità che gli attaccanti stavano già usando prima ancora che Google avesse pronta una correzione. Quel divario tra sfruttamento e patch è esattamente il motivo per cui restare aggiornati con Chrome merita un posto permanente nella tua checklist di sicurezza digitale.