# Chrome corregge uno zero-day già sfruttato: aggiorna subito

URL: https://menteinformatica.it/sicurezza-privacy/chrome-zero-day-aggiornamento-urgente/
Autore: Giorgio Perillo
Aggiornato: 2026-10-02
Categoria: Sicurezza e Privacy

---

Un aggiornamento di Chrome di solito si può rimandare senza pensarci. Questo no: **Google** ha rilasciato la versione **152.0.7977.82/.83** per Windows e Mac (152.0.7977.82 su Linux) per correggere una [falla che qualcuno](https://menteinformatica.it/sicurezza-privacy/trend-micro-apex-one-zero-day-attacchi/) sta già sfruttando in attacchi reali.

Si tratta di **CVE-2026-85046**, un bug di tipo *type confusion* nel motore JavaScript **V8**, quello che compila ed esegue il codice di ogni pagina web aperta in Chrome. Secondo il bollettino ufficiale di Chrome Releases, **[Google è a conoscenza di un exploit già in circolazione](https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html)** per questa vulnerabilità.

Un type confusion in V8 non è un dettaglio tecnico da addetti ai lavori: significa che il browser può essere indotto a interpretare un tipo di dato per un altro, corrompendo la memoria. Nel caso peggiore basta una pagina HTML costruita ad arte con JavaScript malevolo per eseguire codice all’interno del processo sandboxato di Chrome, senza bisogno che l’utente scarichi nulla o clicchi su qualcosa oltre l’apertura del sito.

## Dodici falle, una già in mano agli aggressori

L’aggiornamento non riguarda solo la zero-day: secondo l’advisory ufficiale di **Google**, **[l’update include 12 correzioni di sicurezza in totale](https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html)**, la maggior parte classificate come High. Ma è CVE-2026-85046 quella che conta davvero, perché è l’unica per cui esiste già uno sfruttamento attivo documentato.

La falla è stata segnalata a Google dal ricercatore **Salvatore Gulizia**, noto online come *Serotav*, il 4 agosto 2026. Per la scoperta ha ricevuto una ricompensa di **1.000 dollari** nell’ambito del programma di bug bounty di Chrome.

**Da sapere:** Google non ha diffuso dettagli tecnici sull’exploit né sulle modalità di sfruttamento, una scelta dichiarata per dare tempo agli utenti e ai progetti che dipendono da Chromium di applicare la correzione prima che i dettagli diventino pubblici.

## Perché conviene aggiornare oggi e non domani

Con un exploit già attivo, ogni giorno senza patch è un giorno di esposizione reale, non teorica. L’aggiornamento arriva tramite **Impostazioni > Informazioni su Chrome**: il browser scarica la versione 152.0.7977.82/.83 e chiede il riavvio per applicarla.

La mia lettura è semplice: quando un’azienda della scala di Google decide di non pubblicare i dettagli tecnici di un bug, è quasi sempre perché la finestra di rischio è ancora aperta e vuole chiuderla prima che altri copino l’attacco. È il [sesto zero-day di Chrome sfruttato attivamente](https://menteinformatica.it/sicurezza-privacy/chrome-zero-day-sfruttato-aggiornamento/) che Google corregge nel 2026, un ritmo che dice più sulla pressione a cui è sottoposto V8 come bersaglio che sulla qualità della risposta di Google, che resta comunque rapida.

Chi usa browser basati su Chromium come **Microsoft Edge**, **Brave**, **Opera** e **Vivaldi** dovrebbe fare lo stesso controllo nei prossimi giorni: la correzione arriverà anche lì, con qualche giorno di ritardo rispetto a Chrome.

**Cosa cambia:** aprire Chrome, andare su Impostazioni > Informazioni su Chrome e riavviare non appena il browser segnala la versione 152.0.7977.82/.83 chiude la falla prima che l’exploit possa raggiungere chi non ha ancora aggiornato.

Il rollout, come specifica Google, procederà nei prossimi giorni e settimane: non tutti gli utenti riceveranno l’update nello stesso momento, ma chi forza il controllo manuale da Impostazioni può ottenerlo subito.

**Perché conta:** Con un exploit già attivo per la falla V8, ogni utente Chrome su Windows, macOS o Linux è esposto al rischio semplicemente visitando una pagina web compromessa, senza altre azioni richieste.