Google ha rilasciato un aggiornamento d'emergenza per il browser Chrome dopo aver confermato che una falla nel motore V8 — il componente che esegue JavaScript e WebAssembly — è già oggetto di sfruttamento attivo. Si tratta della quinta zero-day di Chrome corretta nel 2026, un ritmo che non lascia troppo spazio alla tranquillità.

Che cos'è CVE-2026-11645

La vulnerabilità, identificata come CVE-2026-11645 e classificata con un punteggio CVSS di 8.8 (alto), consiste in un accesso alla memoria fuori dai limiti consentiti (out-of-bounds read/write) all'interno del motore V8. In termini pratici, un attaccante remoto può costruire una pagina HTML appositamente modificata: quando la vittima la apre nel browser, si innesca la corruzione della memoria heap, con la conseguente possibilità di eseguire codice arbitrario all'interno del sandbox di Chrome.

Il ricercatore di sicurezza noto come "303f06e3" ha segnalato la falla a Google il 27 aprile 2026, ricevendo un bug bounty di 55.000 dollari per la divulgazione responsabile. La patch è arrivata il 9 giugno 2026, ma Google ha già confermato che un exploit funzionante circolava prima del rilascio della correzione.

Perché è pericolosa

Vulnerabilità come questa nel motore V8 sono particolarmente insidiose perché non richiedono alcuna interazione da parte dell'utente oltre alla semplice navigazione: basta visitare una pagina compromessa. Anche se l'esecuzione di codice avviene inizialmente all'interno del sandbox del browser, questo tipo di falla può essere concatenata con altre vulnerabilità per sfuggire al perimetro protetto e compromettere l'intero sistema.

In questo caso specifico, l'accesso fuori dai limiti della memoria heap può aiutare gli attaccanti ad aggirare le protezioni come l'ASLR (Address Space Layout Randomization), rendendo più agevole lo sfruttamento di ulteriori difetti del sistema operativo.

Come aggiornarsi

La versione sicura è Chrome 149.0.7827.102/103 per Windows e macOS, e 149.0.7827.102 per Linux. L'aggiornamento si distribuisce gradualmente tramite i canali stabili, ma è possibile forzarlo manualmente accedendo al menu Guida → Informazioni su Google Chrome: il browser scarica e installa l'aggiornamento al momento dell'apertura della scheda.

Dopo l'installazione è necessario riavviare il browser affinché la patch diventi effettiva — un passaggio che molti trascurano, lasciando la finestra vulnerabile aperta.

Un 2026 già pesante per Chrome

Questa non è una novità isolata. Le zero-day di Chrome sfruttate in rete nel 2026 sono già cinque, precedute da CVE-2026-2441, CVE-2026-3909, CVE-2026-3910 e CVE-2026-5281. Il motore V8 è storicamente uno dei vettori d'attacco più appetibili per i gruppi di minaccia avanzata, proprio perché è presente in miliardi di dispositivi e la sua complessità lo rende difficile da mettere in sicurezza in modo definitivo.

Per le organizzazioni che gestiscono flotte di endpoint, l'aggiornamento del browser dovrebbe essere trattato con la stessa priorità degli aggiornamenti del sistema operativo: le patch per le zero-day attivamente sfruttate non possono attendere i cicli mensili di manutenzione ordinaria.