In questo articolo Indice dei contenuti 3 sezioni
L’arrivo di Chrome 153 non è il solito aggiornamento di routine, perché insieme alle novità Google ha chiuso una falla che qualcuno stava già sfruttando davvero, fuori dai laboratori. Si tratta di CVE-2026-87491, una vulnerabilità del motore JavaScript V8 per la quale l’azienda conferma l’esistenza di un exploit attivo. È il settimo zero-day di Chrome sistemato nel 2026, in una sequenza che era partita a febbraio, e ancora una volta il bersaglio è quel componente che macina codice proveniente da siti sconosciuti, quindi per definizione il punto più esposto dell’intero browser.
Il rilascio dell’8 settembre 2026 porta il ramo stabile alla versione 153.0.8010.36/.37 su Windows e macOS, mentre su Linux la build corretta di partenza è la 153.0.8010.36. Nel pacchetto complessivo Google conta 230 correzioni di sicurezza, ma CVE-2026-87491 gioca in un campionato diverso: non è un problema teorico emerso durante un’attività di auditing, esiste codice funzionante che la sfrutta. Chi resta indietro con una versione precedente si tiene aperta una porta che qualcuno ha già imparato ad attraversare.
Cosa succede dentro V8 con CVE-2026-87491
La falla riguarda V8, il motore che Chrome e Chromium usano per eseguire JavaScript e WebAssembly. Google la classifica come out of bounds write, cioè una scrittura che finisce oltre i confini dell’area di memoria assegnata. In teoria un programma dovrebbe scrivere solo dentro il proprio buffer, ma se un controllo su dimensioni, indici o riferimenti sbaglia i conti, alcuni byte possono atterrare in zone di memoria vicine. Da lì si arriva ad alterare strutture interne, puntatori, oggetti dell’heap, fino a deviare il flusso di esecuzione del processo.
Nel caso specifico un aggressore remoto può ottenere l’esecuzione di codice arbitrario dentro la sandbox tramite una pagina HTML costruita ad arte. Non equivale a prendersi tutto il sistema operativo, perché Chrome tiene separati i processi che elaborano le pagine web dal resto della macchina, limitando l’accesso a file, dispositivi e risorse privilegiate. Resta comunque un passaggio pesante: per uscire da quel perimetro servirebbe una seconda vulnerabilità capace di garantire sandbox escape o innalzamento dei privilegi. Le campagne più curate funzionano esattamente così, concatenando un exploit che sfonda il motore del browser e un altro che scavalca l’isolamento.
Sugli attacchi, per ora, Google resta sul vago. L’azienda dichiara di essere a conoscenza dell’esistenza di un exploit, senza dire chi lo utilizzi, contro quali obiettivi, attraverso quali siti o documenti. La segnalazione è attribuita a Jihyeon Jeong, ricercatore del Compsec Lab della Seoul National University, indicato nella documentazione Chromium anche come ricercatore interno, con data 6 agosto 2026, quindi circa un mese prima della patch. L’accesso ai dettagli tecnici resta limitato, prassi normale finché la maggior parte degli utenti non ha ricevuto l’aggiornamento.
Le altre 230 patch e il nuovo ritmo dei rilasci
L’elenco delle correzioni va ben oltre lo zero-day. Compaiono problemi critici come use after free e scritture fuori limite in WebGL, buffer overflow e parecchi bug importanti sparsi in ANGLE, il livello che traduce le chiamate grafiche verso le API del sistema operativo, in PDFium, il motore per la visualizzazione dei PDF, e in Dawn, l’implementazione di WebGPU adottata da Chromium. Ci sono poi falle nei DevTools, nei componenti di rete e nello stesso V8. Da questa versione cambia anche la cadenza: una nuova release stabile ogni 2 settimane.
Come controllare la versione e cosa fare con gli altri browser
La distribuzione è progressiva, ma chi non vuole aspettare può aprire il menu principale e andare su Guida, poi Informazioni su Google Chrome, oppure digitare chrome://settings/help. Il browser cerca l’aggiornamento, lo scarica e chiede il riavvio. Se propone una build più recente di quelle indicate, va installata quella. In azienda conviene controllare le policy sugli aggiornamenti automatici: tenere ferma una major release per settimane è rischioso, meglio testare in fretta le applicazioni web critiche su pochi sistemi e poi accelerare.
Il discorso vale anche altrove. Microsoft Edge, Brave, Opera, Vivaldi e molti altri poggiano su Chromium e condividono buona parte del motore JavaScript. I numeri di versione non sono confrontabili e i calendari di integrazione delle patch cambiano da produttore a produttore, quindi la mossa sensata è verificare l’ultima release disponibile per il browser in uso.
