In questo articolo Indice dei contenuti 2 sezioni
Con il rilascio di Chrome 152 nel canale stabile il 25 agosto 2026, Google ha messo sul tavolo un pacchetto di novità che tocca tre fronti diversi: nuove API per gli sviluppatori, un controllo più severo sulle connessioni di rete e una lunga lista di falle chiuse. La distribuzione riguarda Windows, macOS e Linux e procede in modo progressivo, quindi su alcune macchine l’aggiornamento potrebbe farsi attendere qualche giorno. Nel frattempo il browser si porta dietro anche un cambio di passo organizzativo, perché con la versione successiva finisce un’era.
Da Chrome 153, atteso per l’8 settembre, il ciclo stabile passerà infatti a due settimane. Un ritmo più serrato, che nella pratica significa aggiornamenti più piccoli e più frequenti. Ma il grosso del lavoro, per ora, resta concentrato qui.
CPU Performance API, CSS e le altre novità per chi sviluppa
La voce più interessante è la CPU Performance API, che consente a una pagina web di capire quanto è potente il processore del dispositivo su cui sta girando. Non si tratta di un benchmark dettagliato, piuttosto di una classificazione a grandi linee che l’applicazione può usare per calibrare il proprio comportamento: su hardware modesto si può abbassare la fedeltà grafica o alleggerire i calcoli in background, su macchine più muscolose tenere impostazioni più ambiziose. Il valore può essere abbinato alla Compute Pressure API, che invece racconta il carico della CPU in tempo reale. E non è scolpito nella pietra: l’utente può sovrascriverlo dalle impostazioni delle prestazioni, mentre gli amministratori hanno a disposizione la policy CpuPerformanceTierOverride.
Sul versante CSS arriva l’estensione dell’interfaccia CSSPseudoElement a pseudo elementi come ::backdrop, ::scroll-marker e ::view-transition, cosa che semplifica per esempio la gestione dello sfondo delle finestre modali. Debuttano poi le media element pseudo classes, una serie che va da :playing a :paused, :seeking, :buffering, :stalled, :muted e :volume-locked. Il vantaggio è concreto: meno sincronizzazione manuale tra classi CSS e stato del player gestito via JavaScript.
A completare il quadro ci sono la funzione alpha() dei CSS Color 5, utile per intervenire sul canale alfa di un colore, e la proprietà window-drag, che permette di definire quali aree della finestra siano trascinabili nelle applicazioni desktop. Per le PWA su macOS le notifiche vengono adesso attribuite alla singola app invece che al browser, mentre le Isolated Web Apps supportano le sub app e, limitatamente a ChromeOS, finestre non rettangolari grazie alla Window Shape API.
Capitolo comunicazioni di rete: le Connection Allowlists permettono a un sito di dichiarare, attraverso l’header HTTP Connection-Allowlist, quali destinazioni esterne possono ricevere connessioni dal documento o dai web worker. Tutto ciò che non è previsto viene bloccato. Il beneficio è una superficie di attacco più ridotta, il rovescio della medaglia è che serve una gestione precisa degli endpoint, altrimenti qualcosa si rompe. WebGPU guadagna infine la funzione opzionale subgroup-size-control, che specifica la dimensione dei gruppi elaborati dai computation shader: torna utile nei carichi fortemente paralleli, compresi quelli legati all’intelligenza artificiale, sempre che dispositivo e driver la supportino.
Sicurezza: 327 correzioni e dieci vulnerabilità critiche
Il numero che pesa più di tutti resta però quello delle patch. Google parla di 327 correzioni di sicurezza, dieci delle quali classificate come critiche, con diversi casi di use after free, validazione insufficiente degli input e variabili non inizializzate. Tra queste spicca CVE-2026-79282, un use after free in ANGLE premiato con una ricompensa di circa 23.000 euro, accanto ad altre falle critiche individuate in Aura, Chromecast e Safe Browsing.
Come da prassi, parte dei dettagli tecnici resta riservata finché la maggioranza degli utenti non ha ricevuto la correzione, per evitare di offrire una mappa a chi vuole costruire exploit contro installazioni ancora vulnerabili. C’è anche qualcosa che sparisce. Il rilascio rimuove la Private Aggregation API e altre API del Privacy Sandbox collegate, a conferma che l’evoluzione del browser passa pure attraverso i ritiri. Chi mantiene applicazioni costruite su quelle tecnologie farebbe bene a individuare le dipendenze prima che si trasformino in incompatibilità difficili da diagnosticare.
