In questo articolo Indice dei contenuti 2 sezioni
Conviene aggiornare subito Google Chrome, e non per capriccio: la nuova versione appena arrivata sul canale stabile chiude una lista di falle davvero lunga, con 37 problemi di sicurezza classificati come critici e molti altri di gravità inferiore. Tradotto in termini pratici, chi continua a navigare con la build precedente resta esposto a vulnerabilità che possono mettere a rischio dati personali e privacy. Il team di Mountain View ha annunciato la promozione di Chrome 152 al canale stabile per Windows, Mac e Linux, con distribuzione graduale nei prossimi giorni e nelle prossime settimane.
I numeri di versione da tenere d’occhio sono 152.0.7977.64 e .65 per Windows e Mac, mentre su Linux il riferimento è 152.0.7977.64. L’aggiornamento arriva in automatico per tutti, ma aspettare che il browser si decida da solo non è la scelta migliore quando in gioco ci sono falle di questo livello. Il percorso per forzare la cosa a mano è semplice: Altro, poi Impostazioni, quindi Informazioni su Chrome e infine Riavvia.
Le vulnerabilità critiche corrette in Chrome 152
Il grosso delle vulnerabilità critiche riguarda il classico use after free, un errore di gestione della memoria che apre la porta a comportamenti imprevedibili del browser e, nei casi peggiori, all’esecuzione di codice indesiderato. La più remunerativa dell’intero elenco è la CVE-2026-79282, un use after free in ANGLE segnalato il 27 marzo 2026 e premiato con una taglia da circa 23.000 euro. Le altre falle critiche sono state individuate internamente da Google e toccano componenti diversi: Aura, con tre segnalazioni separate tra fine maggio e inizio luglio, Chromecast, colpito da tre use after free e da un problema di validazione degli input, poi Views, Safebrowsing e la parte Mobile, dove il difetto riguarda l’uso di una variabile non inizializzata.
L’elenco delle vulnerabilità di gravità alta è ancora più corposo e vede ANGLE come protagonista assoluto, con una serie impressionante di scritture fuori dai limiti, buffer overflow, risorse non inizializzate e type confusion. Non mancano nomi che dicono molto sul potenziale impatto: V8, il motore JavaScript, compare tre volte tra use after free e type confusion, con segnalazioni arrivate da ricercatori esterni tra fine luglio e metà agosto 2026. Ci sono poi problemi di autorizzazione errata nelle Estensioni, in Sandbox, in USB e nella Transactions Platform, un’autorizzazione mancante in Passwords, fughe di informazioni in Canvas, Paint e GPU, oltre a race condition in Autofill, FileSystem, ReadAloud e WebAppInstalls.
Chi ha trovato i bug e quanto ha guadagnato
La parte più interessante del bollettino riguarda le segnalazioni esterne. Tra le falle di gravità media spicca la CVE-2026-79209, una type confusion in Animation ricompensata con circa 7.400 euro, mentre la CVE-2026-79030, una discrepanza osservabile in Autofill, ha portato in dote circa 1.850 euro a un ricercatore del CompSec Lab della Seoul National University. Curioso il dettaglio della data di segnalazione di quest’ultima, risalente al 25 settembre 2021, a conferma di quanto lunghi possano essere i tempi tra la scoperta e la chiusura di un problema.
Altri contributi arrivano da nomi noti nel settore della ricerca sulla sicurezza: Mozilla ha segnalato un use after free in WebRTC, XBOW compare due volte, tra una scrittura fuori dai limiti in Crashpad e un buffer overflow in Blink valutato circa 920 euro, mentre un ricercatore ha portato all’attenzione di Google una type confusion in V8. Completano il quadro le falle di gravità media individuate internamente, che riguardano GPU, QUIC, CustomTabs, Sync, FileSystem, Sensor e la gestione delle autorizzazioni dei sensori. Il consiglio resta lo stesso: prima di riprendere a navigare, meglio verificare che Chrome abbia effettivamente scaricato la nuova build.
