Google ha corretto un altro zero-day di Chrome sfruttato attivamente, e ora il tempo stringe per chi non ha ancora aggiornato. La falla, tracciata come CVE-2026-85046, è stata corretta il 4 settembre 2026, ma...

Un bug di Chrome che gli attaccanti stavano già usando

Google ha corretto un altro zero-day di Chrome sfruttato attivamente, e ora il tempo stringe per chi non ha ancora aggiornato. La falla, tracciata come CVE-2026-85046, è stata corretta il 4 settembre 2026, ma l'Agenzia per la Sicurezza Informatica e delle Infrastrutture degli Stati Uniti (CISA) l'ha già aggiunta al suo catalogo Known Exploited Vulnerabilities (KEV), dando alle agenzie federali tempo fino al 18 settembre per applicare la patch. Questa finestra ristretta è un segnale forte di quanto i funzionari della sicurezza trattino seriamente questo bug, ed è un promemoria che anche gli utenti Chrome comuni non dovrebbero aspettare.

Non è la prima volta che questa specifica vulnerabilità fa notizia. Come abbiamo coperto quando è stata distribuita la patch per lo zero-day di Chrome CVE-2026-85046, Google ha rilasciato un aggiornamento d'emergenza dopo aver confermato che attacchi nel mondo reale stavano già sfruttando la falla prima che fosse disponibile una correzione. La scadenza di CISA aggiunge un nuovo livello di urgenza a una storia che si stava già muovendo rapidamente.

Cosa rende pericoloso CVE-2026-85046

CVE-2026-85046 risiede in V8, il motore JavaScript e WebAssembly che alimenta Chrome e ogni browser basato su Chromium. Nello specifico, è una vulnerabilità di type confusion, una classe di bug in cui il browser identifica erroneamente il tipo di dati che sta gestendo, il che può consentire agli attaccanti di manipolare la memoria in modi mai previsti. In pratica, ciò significa che una pagina web appositamente creata può innescare la falla e potenzialmente ottenere esecuzione di codice arbitrario all'interno della sandbox del browser, l'ambiente isolato che Chrome usa per impedire ai contenuti dannosi di toccare il resto del sistema.

Poiché la vulnerabilità era già stata sfruttata in natura prima che Google distribuisse una correzione, qualifica come un vero zero-day. Gli attaccanti non avevano bisogno di fare reverse-engineering della patch per capire come abusare del bug; lo stavano già usando contro bersagli reali. È esattamente per questo che CISA si è mossa rapidamente per aggiungerlo al catalogo KEV, una lista riservata alle vulnerabilità con sfruttamento attivo confermato, piuttosto che a rischio teorico.

La correzione è arrivata come parte di un rilascio di sicurezza Chrome più ampio che affrontava multiple vulnerabilità, ma CVE-2026-85046 si è distinto per il suo stato di sfruttamento attivo. Come abbiamo dettagliato nella nostra copertura precedente che esortava gli utenti a aggiornare Chrome ora a causa del rischio per la privacy, uno sfruttamento riuscito potrebbe potenzialmente esporre attività di navigazione, dati di sessione o altre informazioni sensibili a un attaccante che ottiene esecuzione di codice all'interno del tuo browser.

Perché la scadenza di CISA conta oltre le reti governative

Il catalogo KEV di CISA è tecnicamente un obbligo per le agenzie federali civili, ma il suo impatto nel mondo reale va ben oltre. Quando CISA fissa una scadenza rigida come il 18 settembre, sta di fatto trasmettendo una valutazione del rischio all'intera industria della sicurezza: questo bug è serio, viene usato attivamente, e le organizzazioni di ogni dimensione dovrebbero trattare l'applicazione della patch come una priorità, non come un aggiornamento di routine da fare prima o poi.

Molte aziende, dipartimenti IT e team di sicurezza al di fuori del governo usano il catalogo KEV come punto di riferimento per le loro tempistiche di gestione delle patch. Se una vulnerabilità entra nella lista, tipicamente salta in cima alla coda. Per i singoli utenti non c'è una scadenza formale, ma la stessa logica vale. Chrome si aggiorna silenziosamente in background per la maggior parte degli utenti, ma questo funziona solo se il browser ha la possibilità di riavviarsi e applicare l'aggiornamento. Se hai le stesse schede di Chrome aperte da giorni o settimane senza riavviare, potresti ancora eseguire una versione vulnerabile.

Cosa significa questo per te

Se usi Chrome, o qualsiasi browser basato su Chromium che eredita lo stesso motore V8, merita cinque minuti di attenzione oggi. Lo sfruttamento non richiede di scaricare un file o cliccare un link sospetto nel senso tradizionale; semplicemente visitare una pagina web dannosa o compromessa potrebbe essere sufficiente per innescarlo. Questo rende l'aggiornamento del browser uno dei pochi compiti di sicurezza in cui la soluzione è interamente sotto il tuo controllo e richiede quasi nessuno sforzo.

Gli utenti domestici, le piccole imprese e chiunque gestisca i propri dispositivi dovrebbero trattare questo problema nello stesso modo in cui CISA tratta le reti federali: come una priorità, non come un compito da fare un giorno. La buona notizia è che, a differenza di molte vulnerabilità, questa ha già una correzione disponibile e in attesa.

Punti chiave pratici

• Apri il menu di Chrome, vai su Aiuto > Informazioni su Google Chrome e lascia che verifichi gli aggiornamenti. Riavvia il browser una volta che l'aggiornamento viene scaricato per assicurarti che la patch abbia effetto.
• Controlla eventuali browser basati su Chromium che usi (inclusi quelli costruiti sullo stesso motore) per i loro aggiornamenti di sicurezza, poiché la falla sottostante in V8 può colpire anche loro.
• Non fare affidamento esclusivamente sugli aggiornamenti automatici in background se raramente chiudi o riavvii il browser. Attivare manualmente un controllo garantisce che tu non stia eseguendo codice obsoleto e vulnerabile.
• Se gestisci dispositivi per un'azienda o un'organizzazione, dai priorità a questa patch nello stesso modo in cui la scadenza KEV di CISA suggerisce per le agenzie federali, anche se non sei vincolato dalla stessa data del 18 settembre.
• Resta vigile per futuri bollettini di sicurezza Chrome. Zero-day come CVE-2026-85046 tendono ad arrivare a grappoli, e l'applicazione tempestiva delle patch rimane la difesa più affidabile disponibile per gli utenti comuni.

Aggiornare il browser richiede solo un momento, ma chiude la porta a una vulnerabilità che gli attaccanti stavano già usando prima ancora che Google avesse una correzione pronta. Questo divario tra sfruttamento e patch è esattamente il motivo per cui mantenere aggiornato Chrome merita un posto permanente nella tua lista di controllo della sicurezza digitale.

FAQ: Q1: Cos'è CVE-2026-85046? A1: È una vulnerabilità zero-day di Chrome nel motore V8 JavaScript e WebAssembly, in particolare un bug di type confusion che può consentire esecuzione di codice arbitrario all'interno della sandbox del browser. Q2: Perché CISA ha fissato una scadenza al 18 settembre? A2: CISA ha aggiunto la vulnerabilità al suo catalogo Known Exploited Vulnerabilities e ha dato alle agenzie federali tempo fino al 18 settembre per applicare la patch perché la falla era già stata sfruttata attivamente in natura. Q3: Quando è stata corretta la vulnerabilità? A3: Google ha corretto CVE-2026-85046 il 4 settembre 2026, come parte di un rilascio di sicurezza Chrome più ampio. Q4: Cosa può fare un attaccante sfruttando questa falla? A4: Una pagina web appositamente creata può innescare la falla per ottenere esecuzione di codice arbitrario all'interno della sandbox di Chrome, potenzialmente esponendo attività di navigazione, dati di sessione o altre informazioni sensibili. Q5: Questa vulnerabilità è un vero zero-day? A5: Sì, perché gli attaccanti la stavano già sfruttando in natura prima che Google distribuisse una correzione, il che significa che non avevano bisogno di fare reverse-engineering della patch per abusare del bug. ---END---