Google pubblica aggiornamento di sicurezza per l'ottavo zero-day di Chrome sfruttato attivamente nel 2026

a bunch of keys that are on a hook — Ries Bosch / Unsplash

Google lunedì ha rilasciato aggiornamenti per correggere nove vulnerabilità di sicurezza, inclusa una che è stata sfruttata attivamente nel mondo reale.

La vulnerabilità di alta gravità, assegnata all'identificatore CVE CVE-2026-125350 (punteggio CVSS: 8.8), è stata descritta come un bug use-after-free nel componente XML.

Il bug use-after-free in XML in Google Chrome prima della versione 157.0.8103.50 ha permesso a un attaccante remoto di eseguire codice arbitrario all'interno della sandbox tramite una pagina HTML appositamente creata, secondo quanto riportato nella descrizione del difetto su CVE.org.

I bug use-after-free si verificano tipicamente quando un programma tenta di accedere a una posizione di memoria dopo che è già stata liberata. Lo sfruttamento riuscito di queste vulnerabilità potrebbe consentire a un attaccante di causare corruzione dei dati, arresti anomali del programma o esecuzione di codice arbitrario.

Un ricercatore di sicurezza anonimo è stato accreditato per aver scoperto e segnalato il difetto il 6 novembre 2026. Google ha riconosciuto di essere "a conoscenza che un exploit per CVE-2026-125350 esiste nel mondo reale," ma non ha rivelato ulteriori informazioni specifiche su come venga abusato negli attacchi reali o chi sia dietro di essi.

Per una protezione ottimale, si consiglia agli utenti di aggiornare il proprio browser Chrome alle versioni 157.0.8103.50/.51 per Windows e Apple macOS, e 157.0.8103.50 per Linux. Gli utenti di altri browser basati su Chromium, come Microsoft Edge, Brave, Opera e Vivaldi, sono anche invitati ad applicare le correzioni non appena diventano disponibili.