Google rilascia una correzione d'emergenza per un bug di Chrome sfruttato attivamente

Google ha rilasciato un aggiornamento di sicurezza che risolve 230 vulnerabilità in Chrome, una delle quali era già stata sfruttata dagli attaccanti prima che esistesse una patch. La falla, tracciata come CVE-2026-87491, è una zero-day, il che significa che attori malintenzionati l'hanno individuata e utilizzata contro utenti reali prima che il team di sicurezza di Google potesse distribuire una correzione.

Le zero-day vengono trattate con urgenza proprio perché non esiste alcuna finestra di protezione tra la scoperta e lo sfruttamento. Nel momento in cui Google conferma uno sfruttamento in-the-wild, alcuni utenti sono già stati presi di mira. Ecco perché l'azienda si è mossa rapidamente per correggere CVE-2026-87491 e distribuire l'aggiornamento agli utenti di Chrome su tutte le piattaforme desktop.

Questo non è un evento isolato. Chrome, in quanto browser più utilizzato al mondo, ha avuto una serie costante di zero-day sfruttate attivamente e corrette nel corso dell'anno, tra cui CVE-2026-85046, corretta in precedenza dopo attacchi simili. Il pattern evidenzia una realtà più ampia: i browser si trovano al centro di quasi tutto ciò che le persone fanno online, dalle operazioni bancarie all'email all'inserimento delle credenziali VPN, il che li rende un obiettivo di alto valore per gli attaccanti in cerca di un punto d'appoggio su un dispositivo.

Perché una zero-day del browser è un problema di privacy, non solo di sicurezza

È tentante archiviare le vulnerabilità di Chrome sotto "notizie tecniche di sicurezza" e passare oltre, ma la posta in gioco per la privacy è altrettanto significativa di quella per la sicurezza. Uno sfruttamento riuscito di una falla del browser può potenzialmente consentire a un attaccante di eseguire codice sul dispositivo della vittima, accedere ai dati di sessione o intercettare informazioni che l'utente credeva private, inclusa qualsiasi cosa trasmessa su una connessione altrimenti cifrata.

Questo conta anche per gli utenti attenti alla privacy che prendono precauzioni altrove. Una VPN cifra il traffico tra il tuo dispositivo e il resto di internet, ma non può proteggerti da un processo del browser compromesso in esecuzione localmente sulla tua macchina. Se un attaccante sfrutta una falla come CVE-2026-87491 per ottenere l'esecuzione di codice all'interno di Chrome, potrebbe essere in grado di vedere ciò che digiti, leggere ciò che viene visualizzato sulla pagina o accedere alle credenziali memorizzate, indipendentemente dal fatto che il tuo traffico di rete sia cifrato. In altre parole, una VPN e un browser aggiornato sono livelli di protezione complementari, non sostituti l'uno dell'altro.

La portata di questo aggiornamento, 230 vulnerabilità corrette in un'unica release, riflette anche la dimensione e la complessità intrinseche del software dei browser moderni. Chrome è costruito da milioni di righe di codice che gestiscono tutto, dal rendering delle pagine web all'esecuzione di JavaScript, e ciascuno di questi componenti rappresenta una potenziale superficie d'attacco. La stragrande maggioranza delle 230 correzioni non erano zero-day e non presentava alcun rischio immediato prima della patch, ma quella che era già stata sfruttata è la ragione per cui questo aggiornamento merita attenzione invece di essere ignorato fino a un momento conveniente.

Cosa significa per te

Se usi Chrome, l'azione più importante è semplice: aggiorna il browser il prima possibile. Chrome in genere si aggiorna automaticamente in background, ma tale aggiornamento ha pieno effetto solo dopo aver riavviato il browser. Molte persone lasciano decine di schede aperte per settimane intere, il che significa che la versione corretta potrebbe essere già stata scaricata ma non ancora attiva sull'istanza in esecuzione.

Per verificare il tuo stato, apri il menu di Chrome, vai su Aiuto, poi su "Informazioni su Google Chrome". Questo mostrerà la tua versione attuale e richiederà un aggiornamento se disponibile. Dopo l'aggiornamento, chiudi e riapri il browser per assicurarti che la correzione sia effettivamente applicata, e non solo scaricata.

Anche gli utenti di browser basati su Chromium, incluse diverse popolari alternative costruite sullo stesso motore sottostante, dovrebbero verificare la presenza di aggiornamenti, poiché le vulnerabilità nei componenti principali di Chrome possono talvolta interessare anche quei browser, a seconda di quanto rapidamente i loro sviluppatori incorporino le correzioni di Google.

Punti chiave operativi

  • Aggiorna Chrome immediatamente e riavvia completamente il browser invece di limitarti a lasciare le schede aperte, poiché una patch scaricata non fa nulla finché il browser non viene riavviato.
  • Attiva gli aggiornamenti automatici se non l'hai già fatto, così le future correzioni per falle sfruttate attivamente raggiungono il tuo dispositivo senza ritardo.
  • Ricorda che una VPN protegge il tuo traffico di rete, ma non protegge da un processo del browser compromesso, quindi sia un browser aggiornato che abitudini di navigazione sicure restano essenziali.
  • Se usi un browser alternativo basato su Chromium, verifica con quel fornitore se la correzione sottostante per CVE-2026-87491 è stata incorporata nella loro ultima release.

Patch zero-day come questa sono un promemoria del fatto che la sicurezza del browser è un processo continuo e non una configurazione una tantum. Mantenersi aggiornati rimane uno dei passi più semplici ed efficaci che qualsiasi utente di internet può compiere per ridurre il rischio.