Zero-day di Chrome V8 sfruttato in attacchi in corso: aggiornare subito alla versione 153

Google sta distribuendo un importante aggiornamento di sicurezza per Chrome, che risolve 230 vulnerabilità, tra cui un zero-day sfruttato attivamente nel motore JavaScript e WebAssembly V8 del browser.

Identificata come CVE-2026-87491, la vulnerabilità consente a una pagina web dannosa di attivare una scrittura oltre i limiti. Uno sfruttamento riuscito può eseguire codice controllato dall’aggressore all’interno della sandbox di Chrome, corrompere la memoria heap, esporre informazioni disponibili al renderer o mandare in crash il browser.

Al 9 settembre 2026, Google ha confermato l’esistenza di un exploit in circolazione. L’azienda non ha identificato gli aggressori, le organizzazioni prese di mira, l’infrastruttura di distribuzione né gli obiettivi della campagna.

Una pagina HTML appositamente preparata può corrompere la memoria di V8

CVE-2026-87491 interessa V8, il motore utilizzato da Chrome per elaborare JavaScript e WebAssembly. La vulnerabilità sottostante è una scrittura oltre i limiti, un errore di sicurezza della memoria in cui i dati vengono scritti oltre i limiti del buffer previsto.

Un aggressore può raggiungere da remoto il codice vulnerabile attraverso una pagina HTML appositamente preparata. La vittima deve elaborare contenuti controllati dall’aggressore, che possono essere distribuiti tramite un sito web compromesso, un link dannoso, una catena pubblicitaria o un altro meccanismo basato sul web. Per gli attacchi osservati non è stato divulgato alcun metodo di distribuzione specifico.

La scrittura oltre i limiti di un buffer allocato può modificare le strutture heap adiacenti e interferire con gli oggetti utilizzati dal processo del browser. A seconda dell’exploit, il risultato immediato può essere un crash, un accesso imprevisto alla memoria, un’esposizione di informazioni o l’esecuzione di codice arbitrario.

Il contesto di esecuzione riportato rimane all’interno della sandbox di Chrome. La distinzione è importante: CVE-2026-87491, da sola, non è stata descritta come una completa evasione del perimetro di sicurezza del browser né come una compromissione diretta del sistema operativo.

L’esecuzione di codice nella sandbox rimane comunque pericolosa. Può dare all’aggressore il controllo di un processo renderer e l’accesso ai dati esposti in quel contesto. Potrebbe inoltre diventare una componente di una catena di vulnerabilità che coinvolge una distinta falla di evasione della sandbox o di escalation dei privilegi. Google non ha rivelato se gli attacchi in corso utilizzino una catena di questo tipo.

L’azienda non sta divulgando informazioni tecniche dettagliate né riferimenti agli exploit mentre l’aggiornamento raggiunge gli utenti. Le limitazioni potrebbero rimanere in vigore se lo stesso problema sottostante interessa anche una dipendenza di terze parti non ancora corretta.

Installare Chrome 153.0.8010.36 o 153.0.8010.37

Le versioni Stable Desktop corrette sono:

Sistema operativo	Versione corretta di Chrome
Windows	153.0.8010.36
Linux	153.0.8010.36
macOS	153.0.8010.37

Google ha avvertito che la distribuzione potrebbe richiedere giorni o settimane per raggiungere la sua base globale di utenti. L’aggiornamento automatico non garantisce che il processo del browser in esecuzione sia protetto: dopo aver scaricato la nuova build, è necessario riavviare Chrome.

Gli utenti possono avviare la procedura da:

Altro → Guida → Informazioni su Google Chrome → Riavvia

Le organizzazioni dovrebbero verificare la versione in esecuzione tramite l’inventario del browser o le piattaforme di gestione degli endpoint. Controllare soltanto l’esistenza di un criterio di aggiornamento automatico può lasciare i sistemi esposti quando i dipendenti mantengono aperte le sessioni del browser per periodi prolungati.

Google non ha pubblicato un limite preciso tra le versioni vulnerabili e quelle non vulnerabili per CVE-2026-87491. Di conseguenza, gli amministratori non dovrebbero cercare di determinare la sicurezza dei sistemi sulla base di un intervallo di versioni precedente. Il riferimento operativo è la build corretta indicata per ciascuna piattaforma.

Microsoft Edge, Brave, Opera, Vivaldi e altri browser derivati da Chromium potrebbero condividere componenti interessati. I rispettivi produttori devono pacchettizzare e distribuire autonomamente gli aggiornamenti corrispondenti. I numeri di versione corretti per questi browser non sono stati divulgati.

Lo sfruttamento è confermato, ma la gravità resta controversa

Le segnalazioni pubbliche assegnano livelli di gravità discordanti a CVE-2026-87491. Una classificazione la descrive come una vulnerabilità di gravità media, mentre un’altra la considera di gravità elevata.

Al momento non esiste un record NVD verificato che fornisca un punteggio CVSS ufficiale, un vettore CVSS, l’intervallo dei prodotti interessati o una classificazione CWE per questa vulnerabilità. La scrittura oltre i limiti è stata associata a CWE-787, ma l’associazione non è stata confermata da una voce NVD disponibile.

La stessa lacuna riguarda il catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency statunitense. Al momento non è possibile verificare una voce CISA KEV, una data di inserimento o una scadenza federale per la correzione relativa a CVE-2026-87491.

L’assenza di dati verificati nei cataloghi non deve essere scambiata per una prova del fatto che lo sfruttamento sia soltanto teorico. Google ha confermato autonomamente l’utilizzo della vulnerabilità in attacchi reali, rendendo urgente la distribuzione delle build corrette indipendentemente dal livello di gravità ancora non definito.

Jihyeon Jeong di Compsec Lab presso la Seoul National University ha scoperto e segnalato il problema a Google il 6 agosto 2026. Google ha assegnato al ricercatore una ricompensa di 2.500 dollari.

La data precisa del rilascio dell’aggiornamento non è chiara perché le ricostruzioni pubblicate sono in conflitto. Una parla di un rilascio di martedì, un’altra di giovedì. Non è stata stabilita un’ulteriore data esatta per la distribuzione, anche se le build Stable Desktop corrette erano disponibili entro il 9 settembre 2026.

L’aggiornamento corregge anche falle critiche in WebGL e Cast

CVE-2026-87491 è soltanto una parte di un rilascio di Chrome insolitamente ampio. L’aggiornamento risolve 230 vulnerabilità, tra cui 195 problemi identificati da Google.

Altre cinque vulnerabilità sono state classificate come critiche:

• CVE-2026-87464: use-after-free in WebGL
• CVE-2026-87488: use-after-free in WebGL
• CVE-2026-87438: scrittura oltre i limiti in WebGL
• CVE-2026-87527: buffer overflow in WebGL
• CVE-2026-87628: use-after-free in Cast

Il rilascio corregge anche CVE-2026-87639, una vulnerabilità use-after-free di gravità elevata in WebPackaging, segnalata da OpenAI Codex Security.

Diverse falle riguardano la corruzione della memoria, tra cui condizioni use-after-free, buffer overflow e scritture oltre i limiti. Durante lo sviluppo e i test del browser, Google utilizza AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer e AFL per individuare queste classi di difetti.

Non sono stati segnalati sfruttamenti attivi per le altre vulnerabilità elencate sopra. Tuttavia, la presenza di più difetti critici di sicurezza della memoria rafforza l’opportunità di distribuire l’intero aggiornamento, invece di considerarlo una correzione circoscritta a V8.

Chrome ha dovuto affrontare una serie di zero-day sfruttati

CVE-2026-87491 è stata descritta come il settimo zero-day di Chrome corretto dall’inizio dell’anno, anche se gli elenchi storici pubblicati non concordano su quale vulnerabilità precedente debba essere inclusa.

Il conteggio più esteso comprende:

• CVE-2026-2441
• CVE-2026-3909
• CVE-2026-3910
• CVE-2026-5281
• CVE-2026-11645
• CVE-2026-85046
• CVE-2026-87491

Per diverse di queste falle precedenti esistono record CISA KEV verificati. CVE-2026-2441 è stata inserita nel catalogo il 17 febbraio 2026, con una scadenza federale per la correzione fissata al 10 marzo 2026. CVE-2026-3909 e CVE-2026-3910 sono state aggiunte il 13 marzo 2026, entrambe con scadenza al 27 marzo 2026.

CVE-2026-5281 è entrata nel catalogo KEV il 1º aprile 2026, con correzione richiesta entro il 15 aprile 2026. CVE-2026-11645 è stata inserita il 9 giugno 2026, con scadenza al 23 giugno 2026.

Ognuna di queste cinque vulnerabilità ha un punteggio CVSS v3.1 pari a 8,8 e richiede l’interazione dell’utente. La risposta obbligatoria prevista da CISA consiste nell’applicare le misure di mitigazione del fornitore, seguire le indicazioni BOD 22-01 applicabili ai servizi cloud oppure dismettere il prodotto interessato se non sono disponibili mitigazioni.

Questa cronologia evidenzia un modello ricorrente di sfruttamento reale di componenti di Chrome, tra cui V8, Skia, CSS e Dawn. Non rivela chi stia sfruttando CVE-2026-87491 né collega gli attacchi attuali a una campagna precedente.

Cosa devono fare ora i team di sicurezza

Le aziende dovrebbero dare priorità agli endpoint Windows e Linux con versioni precedenti a 153.0.8010.36 e agli endpoint macOS con versioni precedenti a 153.0.8010.37. I sistemi utilizzati da dirigenti, sviluppatori, amministratori con privilegi e utenti esposti a rischi elevati durante la navigazione meritano una distribuzione accelerata.

I team di sicurezza dovrebbero inoltre:

1. Forzare il riavvio del browser dopo l’installazione dell’aggiornamento.
2. Convalidare le versioni effettive tramite la telemetria degli endpoint.
3. Monitorare i rilasci di sicurezza di Edge, Brave, Opera, Vivaldi e degli altri produttori di browser Chromium.
4. Analizzare i crash ripetuti del renderer o la presenza anomala di processi figli del browser.
5. Esaminare la telemetria web e di rete alla ricerca di distribuzioni HTML sospette.
6. Verificare la correzione delle precedenti vulnerabilità di Chrome già presenti nel catalogo CISA KEV.

Non sono disponibili indicatori di compromissione confermati, hash degli exploit, domini dannosi, settori delle vittime o identificativi degli aggressori. Gli sforzi di rilevamento devono quindi basarsi sulle evidenze comportamentali e sulla telemetria locale, anziché su un elenco IOC pubblicato.