Google ha rilasciato un aggiornamento di sicurezza per Chrome che corregge nove vulnerabilità, tra cui CVE-2026-125350, già sfruttata in attacchi reali. Il difetto riguarda il componente XML del browser ed è classificato ad alta gravità.
Per ricevere la correzione, Chrome va aggiornato alla versione 157.0.8103.50/.51 su Windows e macOS oppure alla 157.0.8103.50 su Linux. Anche chi usa un browser basato su Chromium dovrebbe applicare le correzioni equivalenti non appena disponibili per il rispettivo prodotto.
Il difetto è un use-after-free nel componente XML
La vulnerabilità identificata come CVE-2026-125350 è un bug di tipo use-after-free. In questa classe di problemi, un programma tenta di accedere a una porzione di memoria che è già stata liberata.
Le conseguenze possibili di un difetto simile includono corruzione dei dati, arresti anomali del programma o, nei casi più gravi, l’esecuzione di codice arbitrario. Non sono però disponibili dettagli pubblici su come la falla venga sfruttata negli attacchi osservati.
Google ha dichiarato di essere a conoscenza dell’esistenza di un exploit in circolazione. La scoperta e la segnalazione del problema sono attribuite a un ricercatore di sicurezza anonimo, che avrebbe riferito il bug il 6 novembre 2026.
Perché i dettagli restano riservati
L’azienda può limitare l’accesso alle informazioni tecniche e ai collegamenti relativi alla vulnerabilità finché una parte consistente degli utenti non ha ricevuto l’aggiornamento. La stessa restrizione può restare in vigore se il problema interessa una libreria di terze parti da cui dipendono altri progetti non ancora corretti.
Questa scelta non aggiunge particolari sul vettore d’attacco, ma rende ancora più importante installare subito la versione disponibile: si tratta di una correzione per una falla che Google segnala come già sfruttata fuori dai laboratori di ricerca.
Come aggiornare Chrome
Su Windows e macOS, le versioni corrette sono Chrome 157.0.8103.50 o 157.0.8103.51. Su Linux, la versione indicata è Chrome 157.0.8103.50.
Per verificare l’aggiornamento, aprite il menu di Chrome, seguite il percorso Altro > Guida > Informazioni su Google Chrome e selezionate Riavvia quando il browser lo richiede. Il riavvio completa l’installazione della nuova versione.
La correzione arriva dopo altri casi già affrontati nel 2026: con questo rilascio, Google ha risolto otto zero-day di Chrome sfruttati attivamente dall’inizio dell’anno.
Anche gli altri browser Chromium devono intervenire
La vulnerabilità riguarda Chrome, ma il consiglio di aggiornare si estende anche a chi usa browser costruiti su Chromium, come Microsoft Edge, Brave, Opera e Vivaldi. Per questi prodotti, i fix non arrivano necessariamente nello stesso momento: vanno installati quando il rispettivo sviluppatore li rende disponibili.
Non è quindi utile presumere che la nuova versione di Chrome abbia già corretto automaticamente anche un browser alternativo. Occorre controllare gli aggiornamenti nel programma effettivamente utilizzato.
Domande frequenti
Quale vulnerabilità viene sfruttata negli attacchi?
Google indica CVE-2026-125350, un problema use-after-free nel componente XML di Chrome. L’azienda conferma l’esistenza di un exploit attivo, senza divulgarne il funzionamento.
Quale versione di Chrome devo avere?
Su Windows e macOS servono le versioni 157.0.8103.50 o 157.0.8103.51; su Linux la 157.0.8103.50.
Uso Edge, Brave, Opera o Vivaldi: devo fare qualcosa?
Sì. Questi browser sono basati su Chromium e i loro utenti dovrebbero installare gli aggiornamenti di sicurezza non appena resi disponibili dal relativo fornitore.
Considerazioni finali
La parte più rilevante di questo aggiornamento non è il numero complessivo delle nove correzioni, ma la conferma che una di esse è già oggetto di sfruttamento concreto. In assenza di dettagli pubblici sull’attacco, aggiornare Chrome è la misura più chiara e immediata disponibile.
Google fa bene a trattenere i dettagli tecnici finché la correzione non è più diffusa, ma questo rende il rilascio ancora meno rimandabile per chi non ha gli aggiornamenti automatici attivi. Il punto decisivo resta la disponibilità delle versioni 157.0.8103.50/.51 per Windows e macOS e 157.0.8103.50 per Linux.