Chrome corregge due vulnerabilità critiche: aggiorna subito il browser

Se usi Chrome, aggiorna il browser appena possibile. Google ha rilasciato una nuova versione stabile che risolve due falle di sicurezza critiche legate ai componenti grafici, problemi che in alcuni scenari potrebbero causare crash, corruzione dei dati o consentire attacchi più gravi. La soluzione rapida è semplice: apri il menu del browser, vai su Aiuto e poi su Informazioni su Google Chrome per avviare il controllo automatico degli aggiornamenti.

L’intervento riguarda tutte le principali piattaforme supportate e verrà distribuito in modo graduale nei prossimi giorni e settimane. Questo significa che non tutti gli utenti riceveranno l’update nello stesso momento, ma conviene verificare manualmente la disponibilità senza attendere il rollout automatico.

L’aggiornamento porta Chrome alla versione 151.0.7922.169/.170 su Windows e macOS, mentre su Linux la versione distribuita è 151.0.7922.169. Il pacchetto include in totale 15 correzioni di sicurezza, con attenzione particolare a due vulnerabilità classificate come critiche.

Perché questo aggiornamento è importante

Le due vulnerabilità principali riguardano aree di Chrome molto usate dalle applicazioni web moderne, soprattutto quelle che gestiscono contenuti grafici complessi. In pratica, siti web, giochi online, strumenti di progettazione e visualizzazioni interattive possono sfruttare questi componenti per offrire esperienze più ricche, ma proprio per questo diventano anche punti delicati dal punto di vista della sicurezza.

Una falla in queste aree non è solo un problema teorico. Se sfruttata da un sito malevolo o da contenuti appositamente costruiti, può portare a blocchi del browser, danneggiamento della memoria o, nei casi peggiori, all’esecuzione di codice non autorizzato. Per questo è fondamentale installare gli aggiornamenti senza ritardi.

Le due vulnerabilità critiche corrette da Chrome

La prima falla, identificata come CVE-2026-76034, riguarda WebGL, il componente di Chrome che consente di visualizzare grafica 2D e 3D interattiva direttamente nelle pagine web. Questa tecnologia è largamente usata da applicazioni web avanzate, ambienti creativi e giochi basati sul browser. Il problema è un buffer overflow, cioè un errore di gestione della memoria in cui un programma scrive più dati di quanti ne possa contenere un’area di memoria.

La seconda vulnerabilità, CVE-2026-76036, interessa Dawn, l’implementazione in Chromium dello standard WebGPU. WebGPU è una tecnologia più recente progettata per offrire alle applicazioni web un accesso più diretto ed efficiente all’hardware grafico. Anche in questo caso si tratta di un buffer overflow, un difetto potenzialmente pericoloso quando il browser elabora dati complessi provenienti dal web.

Entrambe sono state classificate come critiche perché colpiscono componenti che lavorano con dati esterni e complessi, aumentando il rischio di corruzione della memoria e di exploit mirati.

Cosa rischiano gli utenti

Per l’utente comune, il rischio immediato più probabile è un arresto anomalo del browser o un comportamento instabile durante la navigazione su siti che usano grafica avanzata. Tuttavia, il quadro cambia se un attaccante riesce a costruire una pagina web appositamente progettata per attivare il difetto.

In uno scenario del genere, il browser potrebbe eseguire operazioni non previste e la vulnerabilità potrebbe essere usata per compromettere la sicurezza del sistema. Anche senza segnali evidenti, mantenere il browser aggiornato è la misura più efficace per ridurre l’esposizione.

Come aggiornare Chrome subito

Aggiornare Chrome richiede pochi secondi e non serve alcuna competenza tecnica.

1. Apri Chrome.
2. Seleziona il menu del browser.
3. Vai su Aiuto.
4. Clicca su Informazioni su Google Chrome.
5. Attendi il controllo automatico degli aggiornamenti.
6. Quando richiesto, riavvia il browser per completare l’installazione.

Se la tua installazione non mostra ancora la nuova versione, significa che il rilascio graduale non ha ancora raggiunto il tuo dispositivo. In questo caso, è utile riprovare più tardi o verificare con il normale processo di aggiornamento del sistema.

Indicazioni per aziende e team IT

Le organizzazioni dovrebbero assicurarsi che i dispositivi gestiti su Windows, macOS e Linux ricevano la nuova build tramite il consueto processo di patch management. In ambienti aziendali, il ritardo nell’applicazione di un aggiornamento critico può lasciare aperta una finestra di rischio evitabile.

I team di sicurezza dovrebbero anche controllare la conformità delle versioni del browser, soprattutto sui sistemi che accedono spesso a siti non attendibili o che usano applicazioni web basate su grafica, modellazione o visualizzazione dei dati. In questi contesti, anche una sola installazione obsoleta può rappresentare un punto debole significativo.

Altre correzioni incluse nell’aggiornamento

Oltre alle due vulnerabilità critiche, la nuova release stabile di Chrome include altre correzioni che coprono differenti componenti del browser. Tra queste figurano problemi legati a implementazioni non corrette, condizioni di race, use-after-free, fughe di informazioni, confusioni di tipo e altri bug di memoria o logica.

Questo dettaglio è importante perché mostra quanto il browser sia un software complesso e continuamente esposto a superfici d’attacco diverse. Ogni aggiornamento non serve solo a chiudere singole falle, ma anche a rafforzare la stabilità complessiva del prodotto.

Perché Google mantiene riservati alcuni dettagli

Google ha scelto di non pubblicare per il momento dettagli tecnici completi, proof-of-concept o informazioni sull’eventuale sfruttamento delle vulnerabilità. In alcuni casi, l’accesso ai report viene limitato fino a quando la maggior parte degli utenti non ha installato la correzione.

Questa pratica riduce la possibilità che gli aggressori analizzino rapidamente la patch e trasformino il difetto in un’arma operativa prima che la protezione sia ampiamente distribuita. È una misura comune nei rilasci di sicurezza più delicati.

Consigli pratici per restare protetti

• Aggiorna Chrome appena possibile.
• Riavvia il browser dopo l’installazione della patch.
• Mantieni attivo l’aggiornamento automatico del sistema.
• Evita di rimandare gli update, soprattutto se navighi su siti ad alto contenuto grafico.
• Verifica che anche i dispositivi aziendali ricevano la stessa versione corretta.

Technical Deep Dive

Le due vulnerabilità corrette nell’aggiornamento stabile di Chrome sono entrambe classificate come buffer overflow, una categoria di errore di memoria particolarmente rilevante nei browser moderni. Un buffer overflow si verifica quando un componente scrive oltre i limiti dell’area di memoria assegnata, con possibili effetti che vanno dal semplice crash fino alla manipolazione del flusso di esecuzione in presenza di ulteriori condizioni favorevoli all’attaccante.

Nel caso di CVE-2026-76034, il componente interessato è WebGL, un’API ampiamente utilizzata per la grafica accelerata nel browser. WebGL gestisce dati complessi provenienti da contenuti web, shader, buffer e istruzioni legate al rendering. Proprio perché elabora input ricchi e dinamici, qualsiasi errore nella validazione o nella gestione delle dimensioni dei dati può diventare una superficie d’attacco sfruttabile tramite contenuti HTML o JavaScript appositamente costruiti.

La seconda vulnerabilità, CVE-2026-76036, riguarda Dawn, l’implementazione di Chromium per WebGPU. WebGPU rappresenta una generazione più recente di API grafiche orientata a prestazioni migliori e a un accesso più diretto alla GPU. Questo aumenta anche la complessità della pipeline di elaborazione, che include traduzione di comandi, validazione di strutture dati e interazione con driver grafici. In questo contesto, difetti di memoria possono risultare particolarmente sensibili perché coinvolgono dati ad alta complessità e percorsi di codice meno maturi rispetto ai componenti storici del browser.

Google ha indicato che le due problematiche sono state segnalate internamente dal proprio team di sicurezza a luglio 2026. La scelta di non rilasciare immediatamente tutti i dettagli tecnici è coerente con una strategia di difesa a più livelli: limitare la circolazione delle informazioni riduce il tempo disponibile per la costruzione di exploit affidabili e per la reverse engineering delle patch.

L’aggiornamento stabile alla versione 151.0.7922.169/.170 su Windows e macOS, e 151.0.7922.169 su Linux, conferma che il rilascio riguarda l’intera base Chromium su piattaforme desktop. Per amministratori di sistema e responsabili della sicurezza endpoint, la priorità operativa è verificare che il browser sia allineato alla nuova build su tutte le postazioni, in particolare quelle esposte alla navigazione quotidiana su siti esterni, applicazioni SaaS, dashboard di business intelligence e strumenti web ad alto uso grafico.

Dal punto di vista difensivo, queste correzioni ribadiscono un principio fondamentale: i browser moderni sono ambienti di esecuzione complessi e ad alta intensità di memoria, quindi gli aggiornamenti non servono solo a introdurre nuove funzionalità, ma soprattutto a rimuovere condizioni che possono essere sfruttate da attori malevoli. L’uso di tecnologie come AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer e AFL indica inoltre che il processo di sviluppo include strumenti avanzati per individuare bug difficili da intercettare manualmente.

In termini operativi, il segnale per l’utente finale è semplice: se Chrome segnala un aggiornamento disponibile, va installato subito. Per i team tecnici, invece, la lezione è che i componenti grafici del browser devono essere trattati come aree ad alta priorità nelle politiche di hardening, patching e monitoraggio della compliance.

Fonte: https://cybersecuritynews.com/google-fixes-two-chrome-flaws-in-webgl-and-dawn/