La falla che Google chiama media

L'8 settembre Google ha promosso Chrome 153 al canale stabile per Windows, Mac e Linux, chiudendo silenziosamente il CVE-2026-87491, un errore di scrittura fuori dai limiti in V8, il motore che esegue ogni script su ogni pagina aperta da un utente Chrome. Nelle stesse note di rilascio, il team di sicurezza di Google ha scritto la frase che conta davvero: "Google è a conoscenza dell'esistenza di un exploit per il CVE-2026-87491 in circolazione". Una pagina web appositamente costruita basta per attivarlo, e un attacco riuscito permette di eseguire codice arbitrario dentro il sandbox del browser.

Guardando però la colonna della gravità accanto al CVE, il bug tracker di Chromium stesso lo classifica come medio. Non critico, nemmeno alto. La ricercatrice che l'ha trovato e segnalato, Jihyeon Jeong del Compsec Lab della Seoul National University, ha ricevuto una ricompensa di 2.500 dollari, un premio di livello medio coerente con l'etichetta media. Nulla nella correzione in sé segnala urgenza. Tutto nel modo in cui veniva sfruttata sì.

Perché la CISA non è d'accordo con l'etichetta

L'agenzia statunitense per la sicurezza informatica e delle infrastrutture non valuta le falle in base a quanto potrebbero teoricamente essere gravi. Gestisce un solo elenco, il catalogo delle vulnerabilità sfruttate note, e l'unica cosa che porta un CVE su quella lista è la prova che qualcuno lo sta già usando contro obiettivi reali. Il CVE-2026-87491 è ora su quella lista, registrato sotto Google, Chromium V8, con scadenza di correzione al 23 settembre 2026, quindici giorni dopo la pubblicazione della patch.

Quel termine di quindici giorni è un obbligo per le agenzie civili federali statunitensi, non un obbligo dell'UE, quindi non vincola direttamente nessun lettore di Servola. Ciò che offre è qualcosa di più utile di un obbligo legale: un secondo segnale indipendente, costruito interamente su prove di sfruttamento e non sulla valutazione interna di un fornitore, ed è arrivato su una falla che il tracker di Chromium continua a chiamare media. Quando i due giudizi divergono in modo così netto, è l'inclusione nel KEV a riflettere ciò che sta davvero accadendo in rete in questo momento.

Quattro zero-day, un solo motore

Il CVE-2026-87491 non è un caso isolato. È il settimo zero-day di Chrome che Google ha confermato sotto sfruttamento attivo nel 2026, arrivato appena quattro giorni dopo il sesto, il CVE-2026-85046, un'altra falla di V8 corretta il 3 settembre. Quattro dei sette zero-day confermati quest'anno si trovano specificamente dentro V8, il motore JavaScript e WebAssembly condiviso da Chrome, Edge, Opera, Brave e ogni altro browser basato su Chromium.

Questa concentrazione non è un caso legato a ciò che è stato segnalato quest'anno. V8 è uno dei componenti più sottoposti a fuzzing e più ricompensati del browser, il che significa che gli attaccanti che trovano davvero qualcosa lì ottengono un componente che gira praticamente su ogni desktop e telefono del pianeta, non una funzione di nicchia attivata solo da una minoranza di utenti. Quattro colpi in un solo motore in nove mesi si legge meno come sfortuna e più come una scelta precisa degli attaccanti su dove si trovi il lavoro di maggior valore.

Cosa significa per un team di sicurezza nell'UE

La maggior parte dei programmi di gestione delle vulnerabilità continua a dare priorità prima alla gravità del fornitore e solo dopo, quando va bene, allo stato di sfruttamento. Questa falla è l'argomento contro quell'ordine. Un team che corregge subito le falle critiche e alte, lasciando quelle medie alla finestra di manutenzione successiva, avrebbe lasciato il CVE-2026-87491 aperto per settimane mentre veniva già sfruttato, perché l'etichetta diceva che poteva aspettare.

La correzione in sé non costa nulla oltre al normale ciclo di patch: Chrome si aggiorna automaticamente alla versione 153.0.8010.36 o successiva sulla maggior parte delle macchine gestite e non gestite nel giro di pochi giorni, e controllare il numero di versione nelle impostazioni di Chrome lo conferma. Il cambiamento più duraturo è di natura procedurale. L'aspettativa del NIS2 di una gestione delle vulnerabilità allo stato dell'arte è più facile da soddisfare collegando direttamente il feed KEV della CISA a una coda di priorità per le patch, piuttosto che fidandosi che l'etichetta di gravità di un fornitore catturi in tempo ogni falla sfruttata attivamente, perché questo caso dimostra che non lo fa.

Servola Journal

Lo facciamo per tutti quelli che cercano di tenere il passo con quello che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Servola Journal esiste perché quello che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire quello che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like o scrivi un commento positivo. Li leggiamo tutti, e sono quello che ci fa andare avanti.

Da leggere ora: Sfruttato Prima Che PaperCut Avesse una Patch  |  Le Squadre Di Sicurezza Europee Senza Voce Su Astra