Google ha eliminato una vulnerabilità zero-day di Chrome, segnalata il 6 novembre da un ricercatore anonimo, che risulta già impiegata in attacchi confermati. Pur senza essere classificata come critica, la falla può determinare il blocco del browser o consentire l’esecuzione di codice arbitrario. Per ridurre l’esposizione, conviene chiudere le schede aperte e riavviare Chrome dopo l’aggiornamento.
Una vulnerabilità nell’elaborazione dei dati XML
“La vulnerabilità CVE-2026-125350 si trova nel componente di Chrome che elabora i dati XML ed è un problema di tipo use-after-free.” In concreto, il browser continua ad accedere a un’area di memoria precedentemente dichiarata libera. Chi riesce a sfruttare questo difetto può provocare un arrest anomalo dell’applicazione oppure eseguire codice arbitrario.
Google non ha fornito informazioni precise sull’impiego della falla da parte degli aggressori. Restano quindi ignoti sia il meccanismo necessario per attivarla, per esempio la visita a una pagina web appositamente predisposta, sia le organizzazioni o gli utenti colpiti. L’azienda preferisce mantenere riservati gli aspetti tecnici finché l’installazione della correzione non è stata completata dalla maggior parte degli utenti.
Le altre correzioni incluse nel rilascio
L’aggiornamento risolve anche un’altra vulnerabilità relativa al trattamento dei dati XML, simile a quella sfruttata ma per la quale non risultano attacchi noti. Il pacchetto di correzioni riguarda inoltre il motore JavaScript V8, il sistema FileSystem e i componenti incaricati del rendering delle pagine. Le cause principali individuate riguardano la gestione della memoria e controlli dei permessi non sufficientemente rigorosi.
Nel complesso, Google ha corretto sei vulnerabilità ad alta gravità e due di gravità media, tutte relative alla grafica del browser. “La falla è già stata sfruttata in attacchi confermati, pur non essendo classificata come critica.”
Versioni corrette e procedura di aggiornamento
“Google ha distribuito le correzioni con Chrome 157.0.8103.50 e 157.0.8103.51 per Windows e macOS e con Chrome 157.0.8103.50 per Linux; per il canale Extended Stable la patch contro la falla sfruttata è disponibile nella versione 156.0.8078.96 su Windows e macOS.”
La distribuzione delle correzioni avviene in modo graduale e il loro arrivo può richiedere diversi giorni prima di raggiungere tutti gli utenti. Su Windows e macOS l’aggiornamento può essere avviato dal menu Aiuto > Informazioni su Google Chrome; su Linux è disponibile anche tramite il gestore di pacchetti della distribuzione.
Attenzione anche agli altri browser basati su Chromium
L’assenza di Chrome non offre una protezione automatica. “Microsoft Edge, Brave, Opera, Vivaldi e gli altri browser basati su Chromium potrebbero essere toccati dalla stessa vulnerabilità.” Ogni sviluppatore dovrà pubblicare la propria patch, perciò è necessario verificare periodicamente la disponibilità degli aggiornamenti anche negli altri browser utilizzati.
