# Chrome aveva una falla già usata dagli hacker. È la quinta in sei mesi.

URL: https://menteinformatica.it/software-app/chrome-zero-day-2026-aggiornamento/
Autore: Giorgio Perillo
Aggiornato: 2026-10-02
Categoria: Software e App

---

**Google ha rilasciato un aggiornamento di emergenza per [Chrome con una falla zero-day attivamente sfruttata](https://www.bleepingcomputer.com/news/security/google-patches-fifth-chrome-zero-day-bug-exploited-in-attacks-this-year/), la quinta da gennaio 2026. Se usi Chrome su Windows, Mac o Linux, aggiornare adesso non è opzionale.**

## Il bug CVE-2026-11645: cosa permetteva di fare a un hacker

La vulnerabilità, identificata come **CVE-2026-11645**, risiede nel motore JavaScript **V8 di Chrome** ed è classificata ad alta gravità. Si tratta di un problema di lettura e scrittura fuori dai limiti della memoria, che un attaccante remoto poteva sfruttare semplicemente inducendo l’utente ad aprire una pagina HTML appositamente costruita.

L’exploit consente di eseguire codice arbitrario all’interno del sandbox del browser, aggirare meccanismi di protezione come **ASLR** e potenzialmente accedere a dati sensibili in memoria. In parole povere: una pagina web malevola poteva comprometterti il browser senza che tu facessi nulla di sbagliato.

⚠️ **Attenzione:** Google ha confermato che un exploit per CVE-2026-11645 esiste già e viene usato in attacchi reali. I dettagli tecnici completi restano riservati finché la maggior parte degli utenti non avrà installato la patch.

## Quali versioni aggiornate e come verificare

Le versioni corrette sono **149.0.7827.102 per Windows e Linux** e **149.0.7827.103 per Mac**, distribuite nel canale Stable Desktop. La falla è stata segnalata da un ricercatore anonimo circa due settimane fa, e Google ha tenuto i dettagli bloccati per dare tempo agli utenti di aggiornarsi prima che altri attaccanti replicassero l’exploit.

L’aggiornamento arriva automaticamente al prossimo avvio di Chrome, ma Google stessa precisa che il rollout completo può richiedere **giorni o settimane**. Per forzarlo subito: apri Chrome, vai su **Menu → Guida → Informazioni su Google Chrome** e attendi che la versione aggiornata venga scaricata e installata, poi riavvia il browser.

## Cinque zero-day in cinque mesi: il quadro non è rassicurante

💡 **L’analisi:** [Cinque zero-day in sei mesi su Chrome](https://menteinformatica.it/sicurezza-privacy/chrome-zero-day-sfruttato-aggiornamento/) non è una coincidenza statistica, è il segnale che il motore V8 è sotto pressione da ricercatori offensivi e attori malevoli con risorse serie. Google rattoppa veloce, ma chi aspetta gli aggiornamenti automatici in passivo resta esposto per giorni.

Chrome è il browser più usato al mondo, e **V8** è un target privilegiato perché esegue codice su miliardi di dispositivi. Ogni falla nel motore JavaScript è potenzialmente uno strumento per chi vuole colpire in modo silenzioso e scalabile, senza bisogno che la vittima scarichi nulla.

La strategia di Google di tenere riservati i dettagli tecnici finché la patch non raggiunge la maggioranza degli utenti è corretta, ma crea un paradosso: chi aggiorna manualmente è al sicuro subito, chi si affida all’automatico resta vulnerabile per giorni con una falla già sfruttata in natura. Aggiornare Chrome a mano una volta ogni tanto è uno dei gesti di sicurezza più semplici che esistano, e in questo momento vale doppio.

## Come se la cavano Firefox e Safari sullo stesso terreno

**Firefox** ha registrato due zero-day attivamente sfruttati nell’intero 2025, entrambi risolti nel giro di 24 ore dal report. **Safari**, invece, ha accumulato quattro zero-day nello stesso anno, ma il suo bacino d’utenza molto più ristretto lo rende meno appetibile come vettore di attacco di massa.

Il punto non è che Chrome sia scritto peggio: è che attaccare Chrome scala. Se trovi una falla in V8, colpisci potenzialmente il 65% degli utenti desktop mondiali in un colpo solo. Firefox e Safari restano bersagli secondari non per merito tecnico, ma per pura aritmetica.

## V8 ha una storia lunga con i bug di memoria

**V8 esiste dal 2008** e ha rivoluzionato le performance JavaScript, ma la complessità del suo ottimizzatore JIT è da sempre la principale superficie d’attacco. Nel 2021 Google aveva già pattuito con Project Zero un impegno a ridurre i tempi di patch da 90 a 30 giorni per le falle attivamente sfruttate.

Quell’impegno regge sul versante velocità di risposta, ma non sta riducendo il [numero di falle scoperte](https://menteinformatica.it/sicurezza-privacy/chrome-1442-vulnerabilita-tre-aggiornamenti/): cinque zero-day in sei mesi su V8 è la frequenza più alta registrata su Chrome da quando Google tiene conteggi pubblici. La pressione sugli ingegneri del motore in questo momento è concreta.

La strategia alternativa che alcuni team di sicurezza aziendali stanno già adottando è bloccare Chrome su versioni verificate internamente e distribuire le patch solo dopo un test rapido di regressione, accettando consapevolmente una finestra di esposizione di 48 ore in cambio di stabilità. Per un utente normale questa opzione non esiste, e la risposta rimane sempre la stessa: aggiorna tu, non aspettare che lo faccia Chrome per conto suo.

Per quanto riguarda i rimborsi legati a Siri, il tema della sicurezza dei dati personali sui dispositivi consumer è sempre più centrale anche fuori dal mondo browser, ma questa è un’altra storia.

Leggi anche: [iOS 27 beta è disponibile adesso: come installarla sul tuo iPhone](https://menteinformatica.it/software-app/ios-27-beta-download-installazione/).

E non è il primo colosso a sbagliare Apple ammette l'errore del 2020: il [telecomando Apple](https://menteinformatica.it/software-app/ios-27-telecomando-apple-tv-home/).

Nel frattempo, Microsoft ha sorpreso tutti con L'[update di giugno](https://menteinformatica.it/software-app/windows-11-veloce-aggiornamento-giugno/) fa quello che Copilot non ha mai.

Un problema analogo tocca anche L'[app Password di iOS 27](https://menteinformatica.it/software-app/apple-ios-27-ai-password-automatica/) cambia le tue password.

Stay tech 🦾