Nell'arco di poche ore, tra il 14 e il 15 luglio, Mozilla, Google e Adobe hanno pubblicato aggiornamenti di sicurezza che nel complesso correggono decine di vulnerabilità, diverse delle quali critiche. Due di queste, in Firefox, arrivano già accompagnate da codice exploit pubblico. Non è ancora sfruttamento attivo, ma è il segnale che la finestra tra la scoperta di una falla e il suo abuso su larga scala si sta accorciando — e che la vera domanda per chi difende una rete non è "devo aggiornare?", ma "cosa aggiorno per primo?".

Cosa è successo

Firefox 152.0.6 corregge due falle critiche: CVE-2026-15718, un puntatore non valido nel motore JavaScript/WebAssembly, e CVE-2026-15719, un problema di site isolation nel componente di navigazione del DOM. Per entrambe è disponibile codice di exploit pubblico, anche se Mozilla dichiara di non essere a conoscenza di sfruttamento in corso.

Chrome 150 porta una quindicina di correzioni, tra cui due use-after-free critiche nel componente grafico Ozone (CVE-2026-15764 e CVE-2026-15765), sfruttabili convincendo l'utente a compiere determinate azioni su una pagina malevola. Le versioni corrette sono la 150.0.7871.124/.125 per Windows e macOS e la 150.0.7871.124 per Linux.

Adobe ha pubblicato aggiornamenti per 88 vulnerabilità, tra cui otto in ColdFusion: la più grave, CVE-2026-48318 (CVSS 9.9), è un path traversal che può portare all'esecuzione di codice. Anche VMware rientra nella stessa tornata di aggiornamenti critici.

Perché il "PoC pubblico" cambia le priorità

C'è una differenza sostanziale tra una vulnerabilità corretta in silenzio e una che nasce già con un exploit pubblicato. Un proof-of-concept (PoC) disponibile non significa che gli attacchi siano in corso, ma abbassa drasticamente la barriera per chi vuole sfruttare la falla: elimina la parte più difficile del lavoro, quella di capire come innescare la vulnerabilità. La comparsa di repository che pubblicano exploit generati con l'ausilio di fuzzing assistito dall'IA ha ulteriormente compresso i tempi: ciò che fino a poco fa richiedeva ricercatori esperti oggi si sta industrializzando.

Da qui una regola pratica di prioritizzazione, il vero valore di questa notizia per chi gestisce sistemi. Non tutte le patch hanno la stessa urgenza. In cima alla lista va ColdFusion: è un componente tipicamente esposto su Internet, con CVSS 9.9 e una storia recente di sfruttamento attivo su falle analoghe — la combinazione più pericolosa. Subito dopo vengono i browser: le falle richiedono che l'utente visiti una pagina malevola, ma il browser è l'applicazione più ubiqua e più esposta al phishing, e il PoC pubblico su Firefox alza la probabilità di abuso a breve. VMware e gli altri componenti seguono secondo l'esposizione e la criticità dei sistemi che ospitano.

Attenzione infine a un'illusione comune: un aggiornamento rilasciato dal vendor non equivale a una flotta protetta. Chrome si aggiorna da solo, ma l'utente che non chiude mai il browser continua a girare per giorni sulla versione vecchia; le immagini VDI restano indietro; alcune policy aziendali bloccano le versioni. Il rischio non si chiude quando la patch esce, ma quando è effettivamente caricata su ogni endpoint.

Cosa significa per le aziende italiane

Per una PMI o un ufficio della PA, il browser è di fatto il sistema operativo del lavoro quotidiano: posta, gestionali in cloud, portali della pubblica amministrazione. Una falla client-side sfruttata con successo è spesso il primo anello di una catena che porta al furto di credenziali e, da lì, agli accessi ai servizi aziendali. Nel quadro NIS2 una gestione ordinata e documentata degli aggiornamenti è parte delle misure di base attese; e se una compromissione client apre la strada a un accesso non autorizzato a dati personali, restano validi gli obblighi GDPR di valutazione e, se del caso, notifica al Garante.

Cosa fare subito

  • Aggiornare i browser a Firefox 152.0.6 e Chrome 150.0.7871.124/.125, verificando con un riavvio che la nuova versione sia effettivamente in esecuzione (non basta che sia scaricata).
  • Dare priorità assoluta ad Adobe ColdFusion se in uso, specie se raggiungibile da Internet: è la falla con il profilo di rischio più alto di questa tornata.
  • Applicare gli aggiornamenti VMware secondo la criticità dei sistemi virtualizzati coinvolti.
  • Nelle organizzazioni con parco gestito, controllare che eventuali policy di version pinning non stiano bloccando la distribuzione delle patch dei browser.
  • Inserire questi aggiornamenti nel normale ciclo di vulnerability management, tracciando quali endpoint hanno effettivamente ricevuto la patch.

La lezione ricorrente è semplice: in un mese in cui i bollettini si accavallano, la capacità di difendersi non dipende dal numero di patch disponibili, ma dall'ordine con cui le si applica.