Google ha pubblicato un aggiornamento di emergenza di Chrome per correggere CVE-2026-125350, una vulnerabilità di elevata gravità nel componente XML del browser, già utilizzata negli attacchi. L’azienda ha confermato di essere a conoscenza dell’esistenza di un exploit attivo, ma non ha rivelato chi sia responsabile degli attacchi né come vengano condotti.
Si tratta dell’ottavo zero-day sfruttato in Chrome dall’inizio del 2026. L’aggiornamento stabile per desktop, basato su Chrome 157, corregge anche altre otto vulnerabilità: sei di gravità elevata e due di gravità media, secondo SecurityWeek. Google ha pubblicato le patch lunedì; l’avviso dell’azienda non fornisce dettagli sugli incidenti.
Google is aware that an exploit for CVE-2026-125350 exists in the wild.
— Google, nel suo avviso di sicurezza
Un oggetto eliminato che conserva un riferimento
CVE-2026-125350 è un errore di tipo use-after-free, ovvero un uso della memoria dopo che è stata liberata, nel componente XML di Chrome. Si verifica quando il browser elabora dati XML, elimina un oggetto dalla memoria e non cancella il puntatore che continua a indicare quell’oggetto. Se in seguito tenta di accedere di nuovo a quell’area già liberata, un aggressore può sfruttare la situazione per alterare la memoria del processo.
BleepingComputer descrive la vulnerabilità come un problema di corruzione della memoria di elevata gravità. The Hacker News segnala che questo tipo di errore può causare danni ai dati, arresti anomali del programma o l’esecuzione di codice arbitrario. Anche il centro di risposta alle emergenze informatiche di Hong Kong (HKCERT) avverte che, in questo caso, un aggressore remoto potrebbe sfruttare l’errore XML e classifica il rischio come estremamente elevato.
Il punteggio CVSS di CVE-2026-125350 risulta non disponibile su The Hacker News. Google non ha pubblicato informazioni specifiche sulle campagne che la sfruttano. Il suo avviso spiega che i dettagli tecnici e i collegamenti alla vulnerabilità potrebbero rimanere soggetti a restrizioni finché la maggior parte degli utenti non avrà ricevuto la correzione; manterrà inoltre tali restrizioni se il problema riguarda una libreria di terze parti utilizzata da altri progetti che non hanno ancora applicato una patch.
Un aggiornamento per Windows, macOS e Linux
La patch viene distribuita agli utenti del canale stabile desktop con Chrome 157. Le versioni indicate sono 157.0.8103.50/.51 per Windows e macOS e 157.0.8103.50 per Linux. HKCERT indica come vulnerabili le versioni precedenti a questi numeri e raccomanda di installare la versione corretta o una successiva.
Google avverte che la distribuzione dell’aggiornamento potrebbe richiedere giorni o settimane per raggiungere tutti gli utenti. BleepingComputer, tuttavia, ha trovato la patch subito disponibile cercando gli aggiornamenti il giorno della pubblicazione. Chi non desidera avviare manualmente la verifica può lasciare che Chrome cerchi e installi automaticamente l’aggiornamento alla riapertura del browser.
The Hacker News indica anche il percorso per verificarlo: aprire «Altro», accedere a «Guida» e selezionare «Informazioni su Google Chrome»; quindi scegliere «Riavvia» per completare l’installazione. La raccomandazione vale anche per chi utilizza browser basati su Chromium, come Microsoft Edge, Brave, Opera e Vivaldi, che dovranno applicare le rispettive correzioni non appena saranno disponibili.
Nove vulnerabilità corrette e otto zero-day nel 2026
L’aggiornamento risolve nove vulnerabilità in totale, secondo The Hacker News e SecurityWeek. Oltre allo zero-day XML, Google ha corretto sei vulnerabilità di gravità elevata nei componenti WebGL, FileSystem, Compositing, GPU, V8 e XML. SecurityWeek riferisce che la maggior parte è stata individuata internamente da Google. Sono stati inoltre risolti due errori di gravità media descritti come problemi di risorse non inizializzate nel componente GPU.
Con CVE-2026-125350, Google porta a otto il numero di vulnerabilità di Chrome sfruttate attivamente da gennaio. Le altre sette sono CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 e CVE-2026-87491.
La cronologia di quest’anno comprende un errore di invalidazione degli iteratori in CSSFontFeatureValuesMap, corretto a metà febbraio. A marzo sono arrivate patch per una scrittura fuori dai limiti nella libreria grafica Skia e per un’implementazione inadeguata in V8, il motore JavaScript e WebAssembly di Chrome. Ad aprile è stato corretto un use-after-free in Dawn, l’implementazione multipiattaforma di WebGPU utilizzata dal progetto Chromium.
A giugno Google ha corretto una vulnerabilità di lettura e scrittura fuori dai limiti in V8. A settembre ha risolto altre due vulnerabilità in quel motore: una scrittura fuori dai limiti e un errore di confusione dei tipi. Gli identificativi di questi problemi sono, rispettivamente, CVE-2026-11645, CVE-2026-87491 e CVE-2026-85046. BleepingComputer conta otto zero-day sfruttati e corretti da Google nel 2025 e osserva che diversi erano stati segnalati dal Threat Analysis Group dell’azienda, che monitora gli exploit zero-day usati negli attacchi spyware.
Nessun dettaglio pubblico sugli attacchi
Secondo The Hacker News e SecurityWeek, un ricercatore di sicurezza anonimo ha segnalato CVE-2026-125350 a Google il 6 novembre 2026. La sua identità non è stata resa nota. Non si conoscono pubblicamente nemmeno i responsabili degli attacchi o gli obiettivi colpiti; Google non ha descritto l’uso osservato, limitandosi a confermare che l’exploit è in circolazione.
SecurityWeek aggiunge che, al momento della pubblicazione, CVE-2026-125350 non figurava ancora nel catalogo Known Exploited Vulnerabilities (KEV) di CISA. L’aggiornamento già distribuito da Google corregge la vulnerabilità nelle versioni desktop indicate; per i browser derivati da Chromium resta da attendere il rilascio delle rispettive patch.
Fonti: BleepingComputer, The Hacker News, Chrome Releases, SecurityWeek, The Hacker News, Hong Kong Computer Emergency Response Team Coordination Centre
