Google ha rilasciato un aggiornamento di emergenza per correggere un nuovo zero-day Chrome, una vulnerabilità che secondo l’azienda è già sfruttata in attacchi reali. La falla, identificata come CVE-2026-125350 e classificata di gravità alta, è un errore di tipo use-after-free nel componente che gestisce i documenti XML. La correzione è contenuta in Chrome 157.0.8103.50/.51 per Windows e Mac e 157.0.8103.50 per Linux, pubblicato lunedì 9 novembre. Secondo BleepingComputer, SecurityWeek e The Hacker News è l’ottava vulnerabilità di Chrome sfruttata come zero-day dall’inizio del 2026.
Cosa sappiamo dello zero-day Chrome CVE-2026-125350
Nel bollettino del canale Stable, Google scrive di essere «a conoscenza dell’esistenza di un exploit per CVE-2026-125350 in circolazione». La segnalazione è arrivata il 6 novembre da un ricercatore che ha chiesto di restare anonimo, quindi la correzione è stata distribuita in pochi giorni. L’azienda non ha diffuso dettagli su chi stia sfruttando la falla, su quali bersagli o con quali modalità: come avviene di solito, l’accesso alle informazioni tecniche resta limitato finché la maggior parte degli utenti non avrà installato l’aggiornamento.
Un errore use-after-free si verifica quando un programma continua a usare un’area di memoria già liberata. A seconda di come quella memoria viene riutilizzata, può provocare un crash, esporre informazioni o, nei casi peggiori, consentire l’esecuzione di codice. Secondo CyberInsider, la patch pubblica di Chromium collegata alla segnalazione riguarda libxslt, la libreria usata per trasformare documenti XML tramite fogli di stile XSLT. Lo stesso sito ipotizza, senza conferme da parte di Google, che una pagina web costruita ad arte possa essere il veicolo più plausibile dell’attacco.
Le altre falle corrette in Chrome 157
L’aggiornamento corregge in tutto nove vulnerabilità. Oltre allo zero-day ci sono sei falle di gravità alta nei componenti WebGL, FileSystem, Compositing, GPU, V8 e in un’altra parte del codice XML, più due problemi di gravità media nella GPU. Gran parte di questi bug è stata individuata internamente da Google. In parallelo è stato aggiornato anche il canale Extended Stable, alla versione 156.0.8078.96 per Windows e Mac, che include la correzione per CVE-2026-125350. Per Android, Google indica che Chrome 157.0.8103.50 contiene le stesse correzioni di sicurezza della versione desktop.
Il tema delle falle nel browser è tornato spesso nelle ultime settimane: a fine ottobre avevamo raccontato come un modello di IA di Anthropic abbia individuato 62 vulnerabilità in Chrome, tutte già corrette a partire dalla versione 156.
Un anno con otto zero-day
Secondo SecurityWeek, prima di questa falla Google aveva già corretto nel 2026 altri sette zero-day di Chrome sfruttati in attacchi: CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 e CVE-2026-87491. Al momento della pubblicazione dell’articolo di SecurityWeek, la CISA statunitense non aveva ancora inserito CVE-2026-125350 nel suo catalogo delle vulnerabilità note e sfruttate (KEV).
Come aggiornare Chrome e proteggersi
Google spiega che la distribuzione avverrà nei prossimi giorni o settimane, ma l’aggiornamento può essere installato subito. Ecco cosa conviene fare:
- aprire il menu di Chrome, andare su Guida e poi su Informazioni su Google Chrome: il browser cerca la nuova versione e chiede di riavviarlo;
- verificare di avere la versione 157.0.8103.50 o successiva (su Windows e Mac anche la .51);
- riavviare davvero il browser, perché la correzione diventa attiva solo dopo il riavvio;
- sui telefoni Android, aggiornare Chrome dal Play Store;
- chi usa browser basati su Chromium, come Microsoft Edge, Brave, Opera o Vivaldi, dovrebbe installare le correzioni appena i rispettivi produttori le rendono disponibili.
Mantenere aggiornati browser e sistema operativo resta la difesa più efficace contro questo tipo di attacchi: nei giorni scorsi sono arrivati anche gli aggiornamenti Apple che correggono falle Bluetooth e iMessage e il bollettino di sicurezza Android di novembre.
Fonti: Chrome Releases, BleepingComputer, SecurityWeek, The Hacker News, CyberInsider.
