Il 3 settembre Google ha pubblicato un aggiornamento d’emergenza di Chrome che corregge la CVE-2026-85046, una vulnerabilità già sfruttata negli attacchi. È la sesta zero-day di Chrome sfruttata nel 2026, e settembre è appena cominciato. Come al solito Google si limita a dire di essere a conoscenza di un exploit in circolazione, senza dettagli su vittime e autori.
La falla è una type confusion in V8, il motore che esegue JavaScript e WebAssembly in Chrome, con gravità 8,8. Il programma tratta un dato come se fosse di un tipo diverso, e questo gli fa leggere e scrivere memoria che non dovrebbe toccare. Il difetto sta in una funzione del compilatore che ottimizza l’ordinamento degli array.
Per sfruttarla basta che la vittima apra una pagina web preparata ad arte. Non deve scaricare nulla né cliccare su un allegato. L’attaccante esegue codice dentro la sandbox del browser, e di solito combina questo tipo di falla con una seconda vulnerabilità per uscire dalla sandbox e prendere il computer.
Le versioni corrette sono la 152.0.7977.82/.83 o successive per Windows e macOS, la 152.0.7977.82 o successive per Linux. L’aggiornamento chiude anche altre 11 vulnerabilità, nove delle quali di gravità alta. Il 4 settembre le autorità statunitensi hanno inserito la falla nell’elenco di quelle sfruttate.
Non solo Chrome
V8 è il motore di tutti i browser basati su Chromium, quindi Edge, Brave, Opera e Vivaldi ricevono la correzione con i propri aggiornamenti, ciascuno con i suoi tempi. Lo stesso motore vive in molte applicazioni desktop costruite con Electron e negli strumenti di automazione che usano Chrome senza interfaccia. Quelli si aggiornano solo quando qualcuno se ne ricorda.
Apri Impostazioni, poi Informazioni su Chrome, controlla la versione e riavvia il browser. Questo è il punto che molti saltano: l’aggiornamento scaricato diventa attivo solo dopo il riavvio, e un browser lasciato aperto per settimane con decine di schede resta vulnerabile anche se la patch è già sul disco.
Aggiorna anche gli altri browser basati su Chromium. In azienda forza aggiornamento e riavvio con le policy di gestione e cerca i computer rimasti indietro. E non dimenticare i pacchetti Chrome e Chromium sui server di build e di test, che nessuno apre mai ma che navigano comunque.
