Chrome, falla sfruttata: le versioni corrette da controllare

La CISA ha inserito il 10 novembre 2026 la vulnerabilità CVE-2026-125350 nel catalogo delle falle sfruttate. Google aveva pubblicato il giorno prima le correzioni per Chrome su computer: le versioni da controllare cambiano in base al sistema operativo e al canale di aggiornamento. Anche chi usa altri browser basati su Chromium deve verificare gli avvisi del rispettivo produttore.

La falla è un use-after-free nel componente XML di Chromium. Secondo la descrizione nel catalogo CISA delle vulnerabilità sfruttate, una pagina web appositamente costruita potrebbe consentire a un aggressore remoto di eseguire codice nella sandbox del browser. Google dichiara di essere a conoscenza di un exploit usato in attacchi reali. Il catalogo non specifica vittime, numero di attacchi o dispositivi colpiti: l’inserimento segnala lo sfruttamento, ma non consente di ricostruire chi sia stato preso di mira.

Le versioni corrette di Chrome per computer

Per il canale Stable, Google indica la versione 157.0.8103.50 o .51 su Windows e macOS e la 157.0.8103.50 su Linux. Per chi usa il canale Extended Stable su Windows o macOS, la versione indicata è invece la 156.0.8078.96. Sono canali distinti: non bisogna confrontare il numero Extended Stable con quello Stable come se fossero la stessa linea di rilascio.

Le versioni e le correzioni sono riportate nell’annuncio ufficiale di Google per Chrome Stable. Google precisa che il rilascio Stable viene distribuito gradualmente: la correzione potrebbe quindi non comparire nello stesso momento su tutti i dispositivi. L’annuncio segnala nove correzioni di sicurezza, tra cui questa vulnerabilità, classificata ad alta gravità.

Come controllare l’aggiornamento

Su Chrome per computer, aprire il menu in alto a destra e selezionare Guida > Informazioni su Google Chrome. La schermata mostra la versione installata e verifica la disponibilità di aggiornamenti; se compare l’opzione per riavviare, occorre selezionarla per completare l’applicazione. Su Linux gli aggiornamenti possono essere gestiti anche attraverso il sistema di pacchetti utilizzato. Le istruzioni sono nella guida di Google all’aggiornamento di Chrome.

La CISA segnala che la falla può riguardare anche altri browser basati su Chromium, tra cui Microsoft Edge e Opera, ma gli aggiornamenti non sono intercambiabili: la versione di Chrome non dimostra che un altro browser sia corretto. Opera, nel proprio changelog, indica la versione 140.0.6074.18 e registra un intervento di integrazione della correzione per questa CVE. Per Edge, le note di sicurezza Microsoft consultate non permettono di associare con certezza a questa vulnerabilità una versione correttiva: è quindi opportuno controllare gli aggiornamenti e le comunicazioni del produttore, senza trasferire a Edge i numeri di Chrome.

La pagina ufficiale di Microsoft raccoglie gli aggiornamenti di sicurezza di Edge; il changelog di Opera 140 riporta invece la correzione specifica. Per ChromeOS, l’avviso desktop di Google non fornisce una versione correttiva: il dato non va dedotto dai numeri destinati a Windows, macOS o Linux.

Cosa significa l’inserimento nel catalogo CISA

Il catalogo KEV della CISA raccoglie vulnerabilità per le quali è noto uno sfruttamento. La registrazione ha anche conseguenze operative per le agenzie federali statunitensi secondo le direttive applicabili, ma non costituisce di per sé un obbligo per gli utenti italiani. È comunque un segnale utile per dare priorità all’aggiornamento, insieme alla conferma di Google che l’exploit è stato usato in attacchi reali. NHS England ha raccomandato alle organizzazioni interessate di applicare quanto prima gli aggiornamenti pertinenti; si tratta di un’indicazione rivolta alle organizzazioni, non di una diversa versione del browser da installare.

In pratica, il controllo va ripetuto sui browser effettivamente utilizzati: aggiornare Chrome non aggiorna automaticamente Edge, Opera o altri prodotti installati sullo stesso dispositivo. Per Chrome Stable, la distribuzione graduale può inoltre far sì che il nuovo numero non sia ancora disponibile su ogni computer; la schermata delle informazioni sul browser permette di verificarlo e completare l’installazione quando proposta.

Continua a leggere le notizie di DiariodelWeb.it e segui la nostra pagina Facebook