Google e Mozilla hanno rilasciato Chrome 156 e Firefox 159 il 27 ottobre, correggendo più di 200 vulnerabilità di sicurezza. L'aggiornamento di Chrome include quattro falle critiche, mentre le correzioni di Firefox riguardano sandbox escape e altre debolezze, secondo SecurityWeek. Nessuno dei due produttori ha menzionato sfruttamenti attivi, riferisce la testata.
Il bollettino di rilascio di Google elenca 52 correzioni di sicurezza: quattro classificate critiche, 46 alte e due medie. Le vulnerabilità critiche sono una corruzione della memoria in FileSystem, identificata come CVE-2026-118306; una convalida impropria dell'input in FileAPI e Skia, identificata come CVE-2026-118331 e CVE-2026-118348; e un difetto use-after-free in Layout, identificato come CVE-2026-118344.
Secondo SecurityWeek, CVE-2026-118306 potrebbe consentire l'esecuzione arbitraria di codice al di fuori della sandbox di Chrome tramite una pagina HTML appositamente creata. Si tratta di un possibile percorso di sfruttamento, non di un attacco osservato.
Le build di Chrome corrette sono in fase di distribuzione con le versioni 156.0.8078.73 e 156.0.8078.74 per Windows e macOS, e 156.0.8078.73 per Linux, riferisce SecurityWeek. Google afferma che l'accesso ad alcuni dettagli sui bug potrebbe restare limitato finché la maggior parte degli utenti non ha ricevuto le correzioni, oppure finché altri progetti che utilizzano una libreria di terze parti interessata restano senza patch.
Firefox 159 corregge 167 difetti di sicurezza, di cui 108 classificati come alti, secondo il resoconto di SecurityWeek sull'annuncio di Mozilla. La maggior parte delle correzioni riguarda difetti use-after-free, che coinvolgono software che accede alla memoria dopo che questa è stata rilasciata. L'aggiornamento risolve anche sandbox escape, escalation dei privilegi, errori nei controlli dei limiti e bypass della same-origin policy—questi ultimi relativi alle restrizioni che separano i contenuti provenienti da origini web diverse.
Mozilla ha inoltre rilasciato il 27 ottobre Firefox ESR 153.6 e 115.44, insieme a Thunderbird 159 e 153.6. SecurityWeek riferisce che queste versioni correggono molte delle stesse vulnerabilità; il totale di Firefox 159 non va quindi considerato come il numero di correzioni per ciascuna di queste versioni separate.
