Google ha portato Chrome 156 sul canale stabile desktop con 353 correzioni di sicurezza, tra cui sei vulnerabilità critiche che interessano componenti come CSS, Accessibility, Skia e WebRTC.
L'avviso ufficiale di rilascio di Chrome indica che l'aggiornamento sarà distribuito su Windows, macOS e Linux «nei prossimi giorni/settimane». Le build corrette sono:
- Windows e macOS: 156.0.8078.47/.48
- Linux: 156.0.8078.47
Il changelog coperto va da 155.0.8059.85 a 156.0.8078.47. Utenti e amministratori dovrebbero verificare che le installazioni abbiano raggiunto una delle build corrette, soprattutto sui sistemi gestiti, dove il rilascio graduale di Google può ritardare la disponibilità.
I difetti di sicurezza della memoria dominano l'aggiornamento
Secondo l'analisi di SecurityWeek, le 353 correzioni comprendono sei problemi critici, 61 ad alta gravità, 197 a gravità media e 89 a bassa gravità.
La stessa analisi ha conteggiato:
- 163 bug di corruzione della memoria
- 125 vulnerabilità use-after-free
- 17 letture fuori dai limiti
- 36 problemi di validazione dell'input non corretta
Queste categorie coprono 341 delle 353 correzioni. La ripartizione citata non classifica le restanti 12.
Le falle di corruzione della memoria e use-after-free si verificano quando il software gestisce in modo errato i limiti della memoria o continua a usare memoria già rilasciata. A seconda del componente interessato e delle mitigazioni disponibili, gli attaccanti potrebbero essere in grado di leggere dati, mandare in crash il browser o eseguire codice. Le descrizioni NVD dei problemi più gravi di Chrome 156 riguardano in genere una vittima che apre una pagina HTML appositamente predisposta.
Sei vulnerabilità critiche interessano componenti centrali del browser
Google ha classificato cinque delle vulnerabilità critiche come corruzione di memoria e una come use-after-free. Le date di «segnalazione» riportate di seguito indicano quando Google ha ricevuto ciascuna segnalazione, non quando è stata pubblicata una patch o divulgata pubblicamente la falla.
| Vulnerabilità | Componente e classe | Effetto potenziale descritto da NVD | CVSS | Segnalatore indicato da Google | Segnalata |
|---|---|---|---|---|---|
| CVE-2026-113341 | Corruzione di memoria in Skia | Possibile divulgazione di memoria all'interno della sandbox tramite HTML appositamente predisposto; la descrizione NVD limita specificamente questo problema a Chrome su Android prima della 156.0.8078.47 | 6,5 | 3 ottobre 2026 | |
| CVE-2026-113279 | Corruzione di memoria in Accessibility | Possibile esecuzione di codice arbitrario all'interno della sandbox | 8,8 | Xinyang Ge | 5 ottobre 2026 |
| CVE-2026-113072 | Corruzione di memoria in CSS | Possibile esecuzione di codice arbitrario al di fuori della sandbox | 9,6 | Xinyang Ge | 6 ottobre 2026 |
| CVE-2026-113280 | Corruzione di memoria in Paint | Esecuzione di codice arbitrario all'interno della sandbox | 8,8 | Xinyang Ge | 6 ottobre 2026 |
| CVE-2026-113271 | Use-after-free in Accessibility | Esecuzione di codice arbitrario all'interno della sandbox | 8,8 | Xinyang Ge (Anthropic), con l'assistenza di Claude | 8 ottobre 2026 |
| CVE-2026-113303 | Corruzione di memoria in WebRTC | Possibile esecuzione di codice arbitrario all'interno della sandbox | 8,8 | OpenAI Codex Security (kylebot) | 15 ottobre 2026 |
CVE-2026-113072 si distingue perché la sua descrizione NVD indica che un HTML appositamente predisposto potrebbe portare all'esecuzione di codice al di fuori della sandbox di Chrome. Ha un punteggio CVSS 3.1 di 9,6, con accesso di rete, bassa complessità di attacco e necessità di interazione dell'utente.
I diversi punteggi CVSS e le etichette di gravità di Chromium riflettono sistemi di valutazione separati. Ad esempio, Google classifica CVE-2026-113341 come critica, mentre il vettore NVD le assegna un punteggio di 6,5 perché l'effetto descritto si limita alla lettura della memoria all'interno della sandbox.
Un difetto di Site Isolation ottiene la ricompensa più alta
Tra i bug ad alta gravità, CVE-2026-113101 ha ricevuto la ricompensa più alta resa nota: 10.000 dollari a Quyen Son di VinFast.
Questa vulnerabilità use-after-free interessa Site Isolation nelle versioni di Chrome precedenti alla 156.0.8078.47. Secondo la sua descrizione NVD, un attaccante remoto potrebbe usare una pagina HTML appositamente predisposta per eseguire codice arbitrario all'interno della sandbox. Ha un punteggio CVSS di 8,8 ed è classificata come CWE-416.
Un altro problema ad alta gravità, CVE-2026-113097, è un difetto use-after-free in FileSystem. Anche la sua scheda NVD descrive una possibile esecuzione di codice all'interno della sandbox tramite HTML appositamente predisposto e gli assegna un punteggio CVSS di 8,8.
Google ha dichiarato di aver pagato complessivamente 50.000 dollari per 24 vulnerabilità. Gli importi delle ricompense per altre 44 vulnerabilità non sono stati resi noti. Il conteggio di SecurityWeek indica che 285 vulnerabilità non hanno ricevuto alcuna ricompensa, tra cui 266 attribuite a Google e altre attribuite a Xinyang Ge o a OpenAI Codex Security.
I crediti di Google indicano che alcuni rilevamenti sono stati assistiti da Claude di Anthropic o inviati tramite OpenAI Codex Security. Queste attribuzioni descrivono come Google ha elencato i segnalatori; da sole non stabiliscono quanta parte della scoperta o dell'analisi sia stata svolta in modo autonomo da un sistema di IA.
I dettagli sugli exploit restano riservati durante il rilascio
Google ha dichiarato che i link ai bug e i dettagli tecnici potrebbero restare non disponibili finché la maggior parte degli utenti non avrà installato l'aggiornamento. Le restrizioni potrebbero durare più a lungo quando una vulnerabilità interessa una libreria di terze parti usata da altri progetti che non hanno ancora rilasciato le proprie correzioni.
Secondo SecurityWeek, l'annuncio di Google non menzionava nessuna delle 353 vulnerabilità come sfruttata nel mondo reale. Questa assenza non va letta come conferma che lo sfruttamento sia escluso.
Per gli utenti desktop e gli amministratori aziendali, il passo difensivo concreto è verificare l'installazione di 156.0.8078.47/.48 su Windows e macOS oppure di 156.0.8078.47 su Linux. Le build precedenti restano nell'intervallo vulnerabile coperto da questo aggiornamento di sicurezza.
