Chrome, falla zero-day già sfruttata dagli hacker: come aggiornare subito

Google ha corretto una vulnerabilità di Chrome segnalata il 6 novembre da un ricercatore anonimo. La falla, pur non essendo classificata come critica, è già stata sfruttata in attacchi confermati. Insomma, meglio chiudere le schede aperte e riavviare il browser.

CVE-2026-125350: cos’è la vulnerabilità di Chrome

La falla, identificata come CVE-2026-125350, si trova nel componente di Chrome che elabora i dati XML. È un problema di tipo use-after-free: in pratica, il browser continua ad accedere a una porzione di memoria che ha già dichiarato libera. Come un ospite che conserva la chiave di una stanza d’albergo anche dopo il check-out. Se qualcuno riesce a sfruttare il bug, può provocare il blocco del browser o arrivare a eseguire codice arbitrario.

Come lo usino esattamente gli hacker, Google non lo dice. Non sappiamo se basti visitare una pagina web trappola per far scattare l’attacco, né chi sia stato preso di mira. L’azienda tiene i dettagli tecnici chiusi a doppia mandata finché la maggior parte degli utenti non ha installato la patch. È una cautela sensata, anche se può lasciare interdetti.

L’aggiornamento risolve anche un’altra falla nel trattamento dell’XML, simile alla precedente ma senza attacchi noti. Le altre vulnerabilità coinvolgono diverse parti di Chrome: il motore JavaScript V8, il sistema FileSystem e i componenti che gestiscono il rendering delle pagine. Alla base ci sono principalmente errori nella gestione della memoria e controlli dei permessi insufficienti. In totale, Google ha corretto sei falle ad alta gravità e due di gravità media, relative alla grafica del browser.

Come aggiornare Chrome

Google ha distribuito le correzioni con Chrome 157.0.8103.50 e 157.0.8103.51 per Windows e macOS, e con la 157.0.8103.50 per Linux. Chi usa il canale Extended Stable, pensato soprattutto per le aziende, riceve la patch contro la falla sfruttata con la versione 156.0.8078.96 su Windows e macOS.

Il rilascio è graduale e può richiedere diversi giorni prima di raggiungere tutti. Meglio non aspettare che arrivi da solo, quindi aprire il menu di Chrome; andare su Aiuto > Informazioni su Google Chrome. Lasciare che il browser cerchi gli aggiornamenti, poi riavviarlo. Su Linux si può anche passare dal gestore di pacchetti della propria distribuzione.

E se si usa un altro browser?

Chi pensa di essere al sicuro perché non usa Chrome farebbe bene a rimandare i festeggiamenti. Microsoft Edge, Brave, Opera, Vivaldi e gli altri browser basati su Chromium potrebbero essere toccati dalla stessa vulnerabilità. Ognuno dovrà rilasciare la propria patch, quindi tocca controllare gli aggiornamenti anche lì.