Il 10 novembre 2026 il CSIRT Italia, il centro nazionale che dipende dall’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL03/261110/CSIRT-ITA su Google Chrome. Google ha rilasciato un aggiornamento del browser che corregge 9 nuove vulnerabilità, 7 delle quali con gravità “alta”. Secondo l’alert, una di queste, la CVE-2026-125350, risulta sfruttata attivamente in rete. L’impatto sistemico è classificato come “Critico (77.56)”.
Chi è coinvolto
Sono interessate le installazioni di Google Chrome nelle seguenti versioni:
- versioni precedenti alla 157.0.8103.50/.51 per Windows e Mac;
- versioni precedenti alla 157.0.8103.50 per Linux.
Chi usa una versione più recente o uguale a queste non è coinvolto dal problema descritto nell’alert.
Che rischio c’è
La CVE-2026-125350 è una vulnerabilità di tipo “Use After Free”. In pratica, il programma continua a usare una porzione di memoria dopo averla restituita al sistema, perché la gestisce in modo non adeguato mentre elabora contenuti XML, un formato usato per descrivere dati strutturati nelle pagine web.
Secondo l’alert, un attaccante remoto potrebbe sfruttare l’errore facendo visitare a un utente una pagina web preparata apposta. Il risultato sarebbe la corruzione della memoria del processo interessato e, in determinate circostanze, l’esecuzione di codice arbitrario sul sistema. Significa che l’attaccante potrebbe far eseguire al computer istruzioni scelte da lui.
L’alert indica come tipologie di rischio l’esecuzione di codice da remoto, l’aggiramento delle restrizioni di sicurezza e il blocco del servizio (denial of service). Per la CVE-2026-125350 la tabella dell’alert segnala la presenza di sfruttamento in rete. Per le altre sei vulnerabilità ad alta gravità, cioè CVE-2026-125348, CVE-2026-125347, CVE-2026-125346, CVE-2026-125345, CVE-2026-125344 e CVE-2026-125343, lo sfruttamento non è indicato.
Cosa fare
In linea con le dichiarazioni di Google, il CSIRT Italia raccomanda di aggiornare Chrome all’ultima versione disponibile su Windows, Mac e Linux. Il rilascio è descritto nel blog ufficiale di Google dedicato agli aggiornamenti di Chrome.
Due verifiche di buon senso possono completare l’intervento:
- controllare che il browser si aggiorni in automatico e, se serve, riavviarlo per applicare la nuova versione;
- nelle aziende, avvisare il fornitore IT o il responsabile dei sistemi, in modo che l’aggiornamento arrivi a tutti i computer.
Fonte: alert AL03/261110/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 10 novembre 2026 (impatto sistemico critico). Leggi l’alert originale.
