Metà dei sei zero-day di Chrome del 2026 ha colpito lo stesso motore

Il sesto dell'anno, e uno schema negli altri cinque

Google ha rilasciato la correzione per CVE-2026-85046 il 3 settembre 2026, una falla di type confusion di gravità alta nel motore V8 JavaScript e WebAssembly di Chrome che permette a contenuti web appositamente creati di ottenere accesso in lettura e scrittura arbitrario all'interno della sandbox del browser. È il sesto zero-day che Google ha corretto quest'anno che era già sotto sfruttamento attivo prima che esistesse una correzione, e osservando tutti e sei insieme emerge qualcosa che un singolo avviso non dichiara mai apertamente: tre di essi, compreso questo, hanno colpito lo stesso componente.

Lo schema emerge solo mettendo gli avvisi dell'anno uno accanto all'altro.

Perché V8 continua a essere colpito

V8 è il componente che trasforma il JavaScript e il WebAssembly di ogni pagina web in codice eseguito, il che lo rende, per progettazione, la parte di Chrome che gestisce più input controllato dagli aggressori. Un bug di type confusion lì, come quello di CVE-2026-85046, induce il motore a trattare un tipo di oggetto di memoria come se fosse un altro, il che basta per costruire accesso in lettura e scrittura arbitrario e, da lì, esecuzione di codice all'interno della sandbox. Tre bug sfruttabili distinti nello stesso motore nell'arco di un anno non sono un caso sfortunato, sono un segnale che sia i ricercatori offensivi sia i gruppi criminali hanno individuato in V8 l'obiettivo di maggior valore nel browser, perché una catena di exploit funzionante lì tende a essere riutilizzabile su molti siti e molte vittime.

Il ricercatore che ha trovato questa specifica falla, Salvatore Gulizia, l'ha segnalata il 4 agosto 2026 e ha ricevuto una ricompensa di 1.000 dollari, una cifra modesta considerando che il bug era già usato in attacchi reali quando Google ha rilasciato una correzione un mese dopo.

Cosa fare adesso

La correzione si trova in Chrome 152.0.7977.82 o .83 per Windows e macOS e 152.0.7977.82 per Linux, e viene distribuita automaticamente nell'arco dei prossimi giorni e settimane, a meno che un'azienda non abbia disabilitato l'aggiornamento automatico o non l'abbia ritardato tramite policy gestita. La Cybersecurity and Infrastructure Security Agency ha aggiunto CVE-2026-85046 al proprio catalogo Known Exploited Vulnerabilities il 4 settembre 2026, con una scadenza di correzione al 18 settembre per le agenzie civili federali degli Stati Uniti, una scadenza che vincola direttamente solo gli enti governativi ma che rappresenta comunque una data obiettivo ragionevole per qualsiasi organizzazione che gestisce il proprio ciclo di patch.

Dato che tre dei sei bug di Chrome sfruttati attivamente quest'anno hanno colpito lo stesso motore, la lezione pratica non è solo correggere questa singola falla. È trattare gli avvisi di Chrome legati a V8 come una categoria di rischio ricorrente, non occasionale, e verificare che gli aggiornamenti automatici siano davvero attivi sulle flotte gestite invece di darlo per scontato.

Da leggere ora: Da dicembre 2026 il tuo adblock sarà più debole su Edge  |  Il Prossimo Zero-Day di Chrome Finisce a Bruxelles