In questo articolo Indice dei contenuti 3 sezioni
Basta aprire una pagina Web confezionata ad arte per finire nel mirino, ed è questa la ragione per cui la nuova falla di Chrome merita attenzione immediata. Google ha appena chiuso una vulnerabilità zero-day che riguarda V8, il motore JavaScript e WebAssembly che dentro il browser si occupa di eseguire e ottimizzare il codice dei siti. Un componente tutt’altro che marginale, visto che praticamente ogni applicazione Web moderna vi si appoggia e che elabora di continuo codice proveniente da Internet. Tradotto, un buco lì dentro diventa una porta d’ingresso comodissima.
Il difetto è catalogato come CVE-2026-85046 e ha ricevuto un punteggio CVSS di 8,8 su 10. Nessun file da scaricare, nessuna finestra di conferma da cliccare, nessun avviso sospetto: il momento critico coincide con l’apertura di una pagina HTML controllata dall’attaccante. Si tratta del sesto zero-day di Chrome corretto da Google dall’inizio del 2026 secondo il conteggio delle falle già sfruttate pubblicamente. Il browser mette in campo diversi livelli di isolamento, però il codice che interpreta JavaScript resta una superficie d’attacco enorme e messa alla prova ogni giorno.
Chrome 152, le versioni da installare subito
La correzione arriva con Chrome 152, nello specifico con le build 152.0.7977.82/83 per Windows e macOS e con la 152.0.7977.82 per Linux. La distribuzione è partita il 3 settembre 2026 e, come sempre accade con questo browser, procede in modo graduale nel giro di qualche giorno o anche di qualche settimana.
Verificare la propria situazione richiede pochi secondi: si apre il menu principale, i tre puntini in colonna a destra della barra degli indirizzi, poi Guida e Informazioni su Google Chrome. Il semplice caricamento di quella schermata fa partire anche il controllo sugli aggiornamenti disponibili. Attenzione però al passaggio successivo, quello che in tanti saltano: dopo l’installazione bisogna riavviare il browser. Lasciare l’aggiornamento scaricato senza chiudere e riaprire tutto significa continuare a lavorare con il vecchio processo, con il codice vulnerabile ancora caricato in memoria.
Il pacchetto non si esaurisce comunque con CVE-2026-85046. Chrome 152 porta in tutto 12 correzioni di sicurezza, dieci classificate a gravità elevata e due di livello medio. I componenti toccati sono parecchi: oltre a V8 compaiono WebGL, Skia, DevTools, CacheStorage, Network, Compositing e il sistema di crash reporting.
Che cosa significa type confusion e perché fa paura
Google descrive la falla come una type confusion. Il concetto, spogliato dal gergo, è questo: il software crea o inizializza una risorsa dando per scontato che appartenga a un certo tipo, poi la usa come se fosse di un tipo del tutto incompatibile. Una parte del programma crede di avere davanti un determinato oggetto JavaScript, mentre in memoria c’è qualcos’altro. Le strutture interne non corrispondono più alle aspettative del codice e offset, puntatori o campi finiscono per assumere un significato diverso da quello previsto.
MITRE inquadra questa categoria come CWE 843 e ne elenca le conseguenze possibili: letture o scritture fuori dai limiti della memoria, crash del processo e, nei casi peggiori, esecuzione di codice non autorizzato. È esattamente questo tipo di primitiva a rendere le type confusion così appetibili quando si attaccano i motori JavaScript.
V8 poi rende il quadro più complicato, perché non si limita a interpretare il codice riga per riga. Usa più livelli di compilazione e ottimizzazione, tiene traccia dei tipi osservati durante l’esecuzione e prova a produrre codice macchina sempre più veloce. Basta un’ipotesi sbagliata sulla struttura reale di un oggetto e un’ottimizzazione perfettamente sensata si trasforma in un accesso alla memoria fuori controllo.
La sandbox aiuta, ma non basta a dormire tranquilli
Una falla in V8 non consegna in automatico il computer nelle mani dell’aggressore. Il JavaScript dei siti gira dentro un processo renderer isolato dalla sandbox di Chrome, pensata proprio per evitare che la compromissione del motore si traduca subito in accesso libero al sistema operativo.
Un exploit contro CVE-2026-85046 può quindi far eseguire codice all’interno del renderer compromesso, ma per superare quel confine e raggiungere le risorse protette servirebbe di norma una seconda falla, il classico sandbox escape. Le campagne più sofisticate lavorano esattamente così, costruendo catene in cui il primo bug prende il renderer e il secondo scavalca la barriera verso processi con privilegi maggiori.
Google però ha dichiarato di sapere che esiste un exploit per questa vulnerabilità già in circolazione, quindi non si parla di una dimostrazione da laboratorio. La segnalazione è arrivata il 4 agosto 2026 dal ricercatore Salvatore Gulizia, noto anche come Serotav, premiato con circa 900 euro nell’ambito del programma bug bounty di Chrome. Poco meno di un mese dopo è arrivata la patch pubblica.
Su chi stia sfruttando il bug, su quali siano i bersagli e sull’eventuale presenza di una seconda falla per uscire dalla sandbox, Google non ha fornito indicazioni.
