Google corregge una vulnerabilità zero-day di Chrome V8 sfruttata attivamente

Google ha rilasciato un aggiornamento di Chrome che corregge CVE-2026-87491, una vulnerabilità zero-day di Chrome V8 sfruttata attivamente che consente a un attaccante remoto di eseguire codice arbitrario all'interno della sandbox del browser inducendo la vittima ad aprire una pagina HTML appositamente creata. Il difetto è un out-of-bounds write in V8, il componente di Chrome che esegue codice JavaScript e WebAssembly. Un out-of-bounds write significa che il programma scrive dati al di fuori della posizione di memoria che dovrebbe usare, il che può corrompere la memoria e consentire a un attaccante di assumere il controllo di una parte del browser. Una zero-day è una vulnerabilità che gli attaccanti hanno iniziato a sfruttare prima che il produttore del software avesse una correzione disponibile, quindi non esisteva alcuna patch nel giorno in cui il bug è stato sfruttato per la prima volta.

L'aggiornamento, rilasciato martedì, corregge in totale 230 vulnerabilità di sicurezza. La scheda di CVE-2026-87491 nel National Vulnerability Database del NIST afferma che nelle versioni di Chrome precedenti alla 153.0.8010.36 il bug consentiva a un attaccante remoto di eseguire codice arbitrario all'interno della sandbox tramite una pagina HTML appositamente creata. La sandbox di Chrome è un confine di sicurezza che mantiene il codice delle pagine web separato dal resto del computer; il codice che viene eseguito all'interno della sandbox ha accesso limitato, ma gli attaccanti possono comunque usarlo come primo passo verso un compromesso più ampio. Google ha classificato il difetto come gravità media e non ha pubblicato un punteggio CVSS, ma lo sfruttamento attivo in natura lo rende urgente.

La ricercatrice di sicurezza Jihyeon Jeong del Compsec Lab della Seoul National University ha scoperto e segnalato il difetto a Google il 6 agosto 2026. Jeong ha ricevuto un premio bug bounty di 2.500 dollari per la divulgazione responsabile. Google afferma di essere a conoscenza dell'esistenza in natura di un exploit per CVE-2026-87491, ma non ha condiviso ulteriori dettagli su come gli attaccanti lo stiano usando o su chi ci sia dietro gli attacchi. L'azienda afferma inoltre che l'accesso ai dettagli del bug e ai link potrebbe rimanere limitato finché la maggior parte degli utenti non avrà installato la correzione, oppure se il bug esiste in una libreria di terze parti da cui dipendono altri progetti che non l'hanno ancora corretto.

Con questo rilascio, Google ha ora risolto sette zero-day di Chrome sfruttate attivamente dall'inizio dell'anno. Le sei precedenti sono CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 e CVE-2026-85046. Nello stesso aggiornamento, Google ha anche corretto cinque vulnerabilità di sicurezza critiche nei componenti WebGL e Cast. WebGL è usato dalle pagine web per disegnare grafica 3D nel browser, mentre Cast gestisce lo streaming verso dispositivi come Chromecast. Le correzioni critiche sono CVE-2026-87464 e CVE-2026-87488, entrambi bug use-after-free in WebGL; CVE-2026-87438, un out-of-bounds write in WebGL; CVE-2026-87527, un buffer overflow in WebGL; e CVE-2026-87628, un bug use-after-free in Cast. Google afferma di aver segnalato 195 delle 230 vulnerabilità corrette in questo aggiornamento. Un difetto use-after-free di gravità alta in WebPackaging, CVE-2026-87639, è attribuito a OpenAI Codex Security. Use-after-free significa che il programma continua a usare un'area di memoria dopo che è stata rilasciata, il che può anche consentire a un attaccante di corrompere la memoria ed eseguire codice. Google ha inoltre osservato che molti dei suoi bug di sicurezza vengono rilevati con strumenti automatizzati come AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer e AFL.

Per ottenere la correzione, gli utenti devono aggiornare Chrome alla versione 153.0.8010.36 o .37 su Windows e Apple macOS, e alla 153.0.8010.36 su Linux. Il modo più semplice è aprire Chrome, fare clic sul menu con i tre puntini, scegliere Aiuto, quindi Informazioni su Google Chrome. Il browser controllerà la presenza dell'aggiornamento e mostrerà un pulsante Riavvia, che riavvia Chrome con la versione corretta. Gli utenti di altri browser basati su Chromium come Microsoft Edge, Brave, Opera e Vivaldi dovrebbero applicare le correzioni man mano che i rispettivi produttori le rilasciano, perché questi browser condividono gran parte dello stesso codice di base. Chrome normalmente si aggiorna automaticamente in background, ma se il browser è rimasto aperto a lungo, l'aggiornamento potrebbe attendere un riavvio, quindi un controllo manuale assicura che la versione corretta sia attiva.

Il 9 settembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto CVE-2026-87491 al suo catalogo delle vulnerabilità sfruttate note. Quel catalogo elenca le vulnerabilità che, secondo la CISA, sono attivamente sfruttate e devono essere corrette prontamente. La CISA richiede alle agenzie del Federal Civilian Executive Branch, che includono i dipartimenti governativi civili, di applicare la patch entro il 23 settembre 2026. Per tutti gli altri, quella data è un obiettivo pratico utile: se un bug del browser è in una lista di controllo governativa perché viene usato in attacchi reali, gli utenti individuali e le aziende dovrebbero trattarlo con la stessa urgenza.

Per i proprietari di siti web e i team IT, questo è l'ennesimo promemoria che l'applicazione delle patch del browser non è facoltativa. Un browser obsoleto può essere il punto di ingresso che consente a un attaccante di raggiungere un pannello di amministrazione WordPress, un pannello di controllo ospitato o una dashboard cloud. AEU Hosting, il nostro servizio di hosting WordPress gestito, mantiene il lato server aggiornato e monitorato, ma la persona alla tastiera deve comunque eseguire la versione corrente di Chrome su ogni dispositivo usato per accedere a quei sistemi. Un server completamente aggiornato dietro un browser obsoleto lascia comunque una porta aperta, e la correzione per questa zero-day di Chrome V8 chiude quella porta dal lato utente.