In questo articolo Indice dei contenuti 2 sezioni
Chi utilizza Google Chrome farebbe bene a controllare subito la voce degli aggiornamenti, perché Google ha iniziato a distribuire una nuova versione del browser che chiude 2 vulnerabilità classificate come critiche. Non sono le uniche: il pacchetto complessivo porta con sé 15 correzioni di sicurezza, un numero che da solo spiega perché conviene non rimandare. Il canale stabile è passato alla versione 151.0.7922.169/.170 per Windows e Mac, mentre su Linux la build di riferimento è la 151.0.7922.169.
Come da prassi, l’azienda di Mountain View non ha aperto del tutto il cassetto dei dettagli tecnici. “L’accesso ai dettagli e ai link relativi al bug potrebbe rimanere limitato fino a quando la maggior parte degli utenti non avrà aggiornato la soluzione. Manterremo le restrizioni anche se il bug è presente in una libreria di terze parti da cui dipendono altri progetti, ma che non è stata ancora corretta”, si legge sul sito ufficiale dedicato agli aggiornamenti del browser.
Le due falle critiche che colpiscono la grafica del browser
Le due vulnerabilità critiche hanno un tratto in comune: riguardano entrambe la parte grafica di Chrome, quella che si occupa di far girare animazioni, giochi e contenuti tridimensionali dentro una pagina web. La prima, identificata come CVE 2026 76034, è un buffer overflow in WebGL, l’interfaccia di programmazione JavaScript che permette ai browser di mostrare grafica interattiva 2D e 3D in modo fluido. Il problema è stato segnalato internamente da Google il 15 luglio 2026. Sfruttandola, un malintenzionato remoto può arrivare a eseguire codice arbitrario fuori dalla sandbox, cioè fuori da quella specie di gabbia protettiva che dovrebbe isolare il browser dal resto del sistema. Il tutto tramite una semplice pagina HTML costruita ad arte.
La seconda, CVE 2026 76036, segnalata il 28 luglio 2026, è anch’essa un buffer overflow, questa volta in Dawn, la libreria open source che implementa lo standard WebGPU. Dawn funziona come un ponte tra le applicazioni web e l’hardware grafico del computer, quindi il livello di accesso in gioco è tutt’altro che secondario. Anche in questo caso l’attacco passa da una pagina HTML preparata appositamente e può portare all’esecuzione di codice arbitrario al di fuori della sandbox.
Le altre 13 correzioni incluse nella patch
Il resto dell’elenco raccoglie vulnerabilità di gravità alta, distribuite un po’ ovunque nel codice del browser. Ci sono problemi di implementazione inappropriata in CORS e in Media, un link following in CredentialProvider, una race condition nel modulo USB e una risoluzione errata dei riferimenti in Core. A questi si aggiungono un use after free nel Browser, l’uso di una risorsa non inizializzata nella GPU, un buffer overflow in ANGLE e una fuga di informazioni in Skia.
Un capitolo a parte lo merita V8, il motore JavaScript di Chrome, che compare tre volte nella lista: un calcolo errato segnalato da Raghav Maheshwari il 27 luglio 2026 e due type confusion, la prima riportata da ywatanabee il 31 luglio 2026 e la seconda da un3xploitable e GF il 3 agosto 2026. Chiude l’elenco un use after free in WebGL, individuato il 5 agosto 2026 da OpenAI Codex Security.
La distribuzione dell’aggiornamento di sicurezza avverrà in modo graduale nei prossimi giorni e nelle prossime settimane, quindi non tutti se lo ritroveranno installato nello stesso momento. Chi non vuole aspettare può forzare il controllo manuale dalle impostazioni del browser e riavviarlo per applicare la nuova versione.
