La nuova vulnerabilità di Chrome mette a rischio la sicurezza dei tuoi dati
Google ha recentemente rilasciato un importante aggiornamento di sicurezza per il browser Chrome, correggendo quattro vulnerabilità, tra cui una particolarmente critica che risulta già sfruttata attivamente da malintenzionati. Questa falla di sicurezza, identificata come CVE-2025-4664 con un punteggio CVSS di 4.3, rappresenta un rischio concreto per gli utenti di Chrome in tutto il mondo.
La vulnerabilità è stata classificata come “insufficiente applicazione delle politiche di sicurezza” nel componente Loader del browser Chrome. Questa falla consente a un attaccante remoto di intercettare dati cross-origin attraverso una pagina HTML appositamente creata, mettendo potenzialmente a rischio informazioni sensibili degli utenti.
Come funziona l’exploit e quali sono i rischi
Il ricercatore di sicurezza Vsevolod Kokorin (@slonser_) ha scoperto e segnalato questa vulnerabilità a Google il 5 maggio 2025. Secondo la sua analisi, il problema riguarda il modo in cui Chrome gestisce l’intestazione Link nelle richieste di sotto-risorse, diversamente da altri browser.
Il meccanismo dell’attacco è particolarmente insidioso:
- Chrome elabora l’intestazione Link nelle richieste di sotto-risorse (comportamento unico rispetto ad altri browser)
- L’intestazione Link può impostare una referrer-policy
- Un attaccante può specificare “unsafe-url” e catturare tutti i parametri completi della query
- I parametri di query spesso contengono dati sensibili che possono portare al completo controllo dell’account
Il rischio principale è che informazioni sensibili presenti nei parametri di query possano essere rubate tramite un’immagine proveniente da una risorsa di terze parti. Questo tipo di attacco è particolarmente pericoloso perché potrebbe avvenire in modo silenzioso, senza che l’utente si accorga di nulla.
Storia recente delle vulnerabilità di Chrome
Questo non è un caso isolato. CVE-2025-4664 è la seconda vulnerabilità di Chrome a essere sfruttata attivamente in natura quest’anno, dopo CVE-2025-2783, scoperta a marzo 2025. Quest’ultima permetteva l’esecuzione arbitraria di codice e veniva sfruttata in attacchi di phishing.
Secondo i ricercatori di Kaspersky, gli attacchi che sfruttavano CVE-2025-2783 avvenivano “immediatamente dopo che la vittima cliccava su un link in un’email di phishing, e il sito web degli attaccanti veniva aperto utilizzando il browser Google Chrome”. Questo tipo di attacco permetteva di installare programmi, visualizzare, modificare o eliminare dati, o persino creare nuovi account con pieni diritti utente.
Come proteggersi efficacemente
Per proteggere i tuoi dati e la tua privacy, è fondamentale adottare immediatamente alcune misure di sicurezza:
1. Aggiorna Chrome il prima possibile
La soluzione più importante e immediata è aggiornare Google Chrome alle ultime versioni disponibili:
- Windows e Mac: versione 136.0.7103.113/.114
- Linux: versione 136.0.7103.113
L’aggiornamento può essere effettuato seguendo questi semplici passaggi:
- Apri Chrome
- Fai clic sui tre punti in alto a destra
- Vai su “Guida” > “Informazioni su Google Chrome”
- Chrome verificherà automaticamente la disponibilità di aggiornamenti e, se necessario, li installerà
- Riavvia il browser per completare l’aggiornamento
2. Non trascurare altri browser basati su Chromium
Se utilizzi altri browser basati su Chromium come Microsoft Edge, Brave, Opera o Vivaldi, è importante verificare e applicare gli aggiornamenti non appena disponibili, poiché condividono lo stesso codice base e potrebbero essere soggetti alle stesse vulnerabilità.
3. Adotta misure di sicurezza aggiuntive
Oltre all’aggiornamento del browser, ci sono altre pratiche di sicurezza che possono aiutarti a proteggere i tuoi dati:
- Utilizza una VPN affidabile quando navighi su reti Wi-Fi pubbliche
- Attiva l’autenticazione a due fattori (2FA) per tutti i tuoi account importanti
- Evita di cliccare su link sospetti in email, messaggi o siti web non affidabili
- Installa un antivirus di qualità che possa rilevare e bloccare tentativi di exploit
- Mantieni aggiornato il sistema operativo con le ultime patch di sicurezza
Le implicazioni per la privacy dei dati
Questa vulnerabilità solleva importanti questioni sulla privacy dei dati degli utenti. La possibilità di rubare parametri di query contenenti informazioni sensibili rappresenta un serio rischio per la riservatezza delle informazioni personali.
Nel contesto del GDPR e di altre normative sulla privacy, le aziende che utilizzano Chrome come browser predefinito dovrebbero essere particolarmente attente a questa vulnerabilità, poiché potrebbero essere considerate responsabili in caso di violazione dei dati dovuta a software non aggiornato.
Come funzionano gli attacchi cross-origin
Per comprendere meglio la natura di questa vulnerabilità, è utile capire come funzionano gli attacchi cross-origin. In circostanze normali, i browser implementano la politica della stessa origine (Same-Origin Policy), che impedisce a un sito web di accedere ai dati di un altro sito. Questa è una fondamentale misura di sicurezza che protegge la privacy degli utenti.
La vulnerabilità CVE-2025-4664 aggira questa protezione consentendo a un sito malevolo di leggere informazioni da altri domini attraverso la manipolazione dell’intestazione Link e della politica di referrer. Questo tipo di attacco è particolarmente insidioso perché:
- Non richiede alcuna interazione da parte dell’utente oltre alla visita della pagina compromessa
- Può essere eseguito silenziosamente in background
- Può rubare informazioni sensibili come token di autenticazione, ID di sessione o altri dati personali
- Può portare al furto dell’identità digitale o all’acquisizione di account
L’importanza degli aggiornamenti di sicurezza
Questo caso evidenzia ancora una volta l’importanza cruciale di mantenere aggiornati i software, specialmente i browser web che rappresentano il principale punto di contatto con Internet. Molti utenti tendono a rimandare gli aggiornamenti, non comprendendo che ogni ritardo aumenta la finestra di vulnerabilità durante la quale i loro dati possono essere compromessi.
Gli aggiornamenti di sicurezza non sono semplici miglioramenti funzionali, ma vere e proprie difese contro minacce concrete. Nel caso di vulnerabilità già sfruttate attivamente come CVE-2025-4664, l’aggiornamento diventa una misura di protezione urgente e imprescindibile.
Il panorama in evoluzione delle minacce web
La scoperta di questa vulnerabilità si inserisce in un contesto più ampio di crescente sofisticazione degli attacchi web. I criminali informatici stanno diventando sempre più abili nello sfruttare le vulnerabilità dei browser per accedere a dati sensibili.
Alcune tendenze preoccupanti incluono:
- Attacchi mirati: invece di campagne massive, gli attaccanti prendono di mira specifiche categorie di utenti o organizzazioni
- Tecniche di evasione avanzate: i malware moderni sono progettati per eludere i tradizionali sistemi di rilevamento
- Sfruttamento di vulnerabilità zero-day: gli attaccanti utilizzano vulnerabilità non ancora conosciute dai produttori di software
- Catene di attacco complesse: combinano diverse vulnerabilità e tecniche per massimizzare l’efficacia dell’attacco
Consigli per le aziende
Le organizzazioni dovrebbero prestare particolare attenzione a questa vulnerabilità, implementando strategie di mitigazione a livello aziendale:
- Implementa politiche di aggiornamento automatico per tutti i browser utilizzati all’interno dell’organizzazione
- Sviluppa un piano di risposta agli incidenti specifico per le vulnerabilità dei browser
- Forma i dipendenti sui rischi della navigazione web e sull’importanza degli aggiornamenti
- Considera l’adozione di soluzioni di isolamento del browser che possono mitigare l’impatto di potenziali vulnerabilità
- Esegui regolarmente audit di sicurezza per identificare configurazioni errate o vulnerabilità non corrette
La vulnerabilità CVE-2025-4664 in Google Chrome rappresenta un promemoria importante della natura in continua evoluzione delle minacce alla sicurezza informatica. Anche un browser ampiamente utilizzato e ben mantenuto come Chrome può presentare vulnerabilità critiche che mettono a rischio la privacy e la sicurezza degli utenti.
La risposta rapida di Google con il rilascio di un aggiornamento è certamente positiva, ma la responsabilità ultima di proteggere i propri dati ricade sugli utenti, che devono assicurarsi di applicare tempestivamente gli aggiornamenti di sicurezza.
In un panorama digitale sempre più complesso, la vigilanza e la proattività rimangono le migliori difese contro le minacce in evoluzione. Mantenere aggiornati i software, adottare pratiche di navigazione sicure e restare informati sulle ultime minacce alla sicurezza sono passi fondamentali per proteggere la propria presenza online.
Ricorda: la sicurezza informatica non è un prodotto, ma un processo continuo che richiede attenzione costante e aggiornamenti regolari. Non aspettare che sia troppo tardi: verifica la versione del tuo Chrome e aggiornalo oggi stesso.
Fonte: https://www.bitdefender.com/en-us/blog/hotforsecurity/google-chrome-flaw-exploited-take-over-account
