Foto di Raymond Hsu.

Una nuova vulnerabilità zero‑day è stata individuata in Google Chrome: la falla sta venendo attivamente sfruttata ed è pertanto indispensabile aggiornare al più presto il browser all'ultima versione. La vulnerabilità è catalogata come CVE‑2026‑2441 e classificata «ad alta gravità», con un punteggio CVSS pari a 8.8. Il bug può consentire l'esecuzione di codice arbitrario all'interno della sandbox tramite una pagina HTML appositamente costruita.

Google ha rilasciato la patch correttiva nelle versioni Chrome 145.0.7632.75/76 per Windows e macOS, e 144.0.7559.75 per Linux. L'aggiornamento è stato distribuito in modalità d'emergenza, con un avviso ufficiale che conferma la presenza di exploit attivi e invita gli utenti a verificare manualmente la disponibilità della nuova versione. Secondo la documentazione tecnica, il difetto risiede in un'errata gestione degli iteratori nella struttura CSSFontFeatureValuesMap, utilizzata per l'elaborazione delle funzionalità tipografiche. L'invalidazione di un iteratore può portare a comportamenti indefiniti, tra cui crash del browser, corruzione dei dati o condizioni favorevoli all'esecuzione di codice malevolo.

La natura del bug lo rende particolarmente pericoloso: un attaccante può sfruttarlo semplicemente inducendo l'utente a visitare una pagina web predisposta, senza necessità di ulteriori interazioni. Questo tipo di vettore è tipico degli attacchi zero‑click (ossia che non richiedono che l'utente compia alcuna azione), che riducono drasticamente la possibilità per l'utente di riconoscere o prevenire il tentativo di compromissione. Google non ha fornito dettagli sugli attacchi osservati, né informazioni sugli autori o sugli obiettivi. La scelta di limitare la divulgazione è coerente con le pratiche standard per le vulnerabilità attivamente sfruttate, al fine di evitare che altri possano replicare l'exploit prima che la maggior parte degli utenti abbia aggiornato il browser.

Il ricercatore che ha individuato la falla, Shaheen Fazim, è stato accreditato ufficialmente per la segnalazione. La rapidità con cui Google ha rilasciato la patch — appena due giorni dopo la comunicazione — evidenzia la gravità del problema e la priorità assegnata alla mitigazione del rischio. È bene ricordare che la vulnerabilità riguarda non solo Chrome, ma anche tutti i browser basati su Chromium che integrano lo stesso componente CSS. Sebbene gli aggiornamenti per questi browser dipendano dai rispettivi sviluppatori, la raccomandazione generale è di verificare tempestivamente la disponibilità di nuove versioni.

Consigliamo la lettura di:

Blocco Note a rischio, falla critica consente l'esecuzione di codice

Motorola, niente aggiornamenti Android sui modelli economici. Una falla nella le...

WhisperPair, la falla Bluetooth che permette di spiare conversazioni e tracciare...

SSD Samsung, falla critica nel software di gestione per Windows: aggiornare subi...

Proposte di lettura:

Notepad++, vulnerabilità usata per diffondere malware. Aggiornare dal sito ...

Gli SMS di autenticazione segreti non sono affatto segreti: meglio abbandonarli

Hai cancellato inetpub? Lo script di Microsoft la ricrea e salva il PC

Windows 11, la cartella misteriosa crea un problema di sicurezza