Segui Google ha rilasciato un aggiornamento di sicurezza d’emergenza che affronta CVE-2026-125350, una vulnerabilità zero-day ad alta gravità nella componente XML di Google Chrome che viene già sfruttata in attacchi reali. Il problema è classificato come un difetto di sicurezza della memoria use-after-free ed è stato segnalato anonimamente a Google il 6 novembre 2026.
Google ha confermato il 9 novembre che esiste un exploit per la vulnerabilità in natura. Tuttavia, l’azienda non ha divulgato come gli attaccanti stiano distribuendo l’exploit, quali organizzazioni o individui siano presi di mira, né se la vulnerabilità venga combinata con ulteriori difetti di fuga dal browser o dal sandbox. L’accesso al bug sottostante di Chromium rimane limitato mentre gli utenti implementano l’aggiornamento di sicurezza.
La correzione è inclusa in Chrome Stable 157.0.8103.50/.51 per Windows e macOS e 157.0.8103.50 per Linux. Google ha anche rilasciato Extended Stable 156.0.8078.96 per Windows e macOS con una correzione per la stessa vulnerabilità.
CVE-2026-125350 è l’ottava zero-day di Chrome nota per essere stata sfruttata nel 2026, dopo CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046, e CVE-2026-87491. Al 10 novembre, SecurityWeek riferisce che CISA non ha ancora aggiunto il nuovo difetto rivelato al suo catalogo delle Vulnerabilità Sfruttate Conosciute.
Le vulnerabilità use-after-free si verificano quando il software continua a fare riferimento alla memoria dopo che quella memoria è stata rilasciata. A seconda del codice interessato e della tecnica di sfruttamento, tale corruzione della memoria può potenzialmente portare a crash del browser, corruzione dei dati o esecuzione di codice controllato dall’attaccante. Google non ha divulgato l’esatto impatto ottenuto negli attacchi osservati, quindi i difensori dovrebbero evitare di presumere che esista già una catena di compromissione del sistema completa documentata pubblicamente.
I team di sicurezza possono utilizzare la piattaforma di Intelligence di Rilevamento AI-Nativa di SOC Prime per rafforzare la copertura di rilevamento contro lo sfruttamento del browser, processi figli sospetti, esecuzione di payload, e comportamento successivo dell’attaccante in ambienti SIEM, EDR, XDR e Data Lake.
Rileva CVE-2026-125350 combinando l’inventario delle versioni del browser con la telemetria degli endpoint e della rete, monitorando i processi sospetti avviati da Chrome, crash anomali del browser, download di payload inaspettati, e comportamento post-sfruttamento che si verifica dopo visite a siti web potenzialmente dannosi.
Il contenuto di rilevamento potrebbe non essere disponibile per tutti i CVE. Controlla la piattaforma SOC Prime per la copertura attuale. Se i rilevamenti pertinenti non sono ancora disponibili, controlla di nuovo poiché nuove informazioni sulle minacce e contenuti di rilevamento vengono continuamente aggiunti.
Analisi CVE-2026-125350
CVE-2026-125350 colpisce le versioni vulnerabili di Google Chrome contenenti la condizione di use-after-free nella componente XML del browser. Google valuta la vulnerabilità ad alta gravità ma non ha pubblicato un punteggio o un vettore CVSS nel suo avviso del 9 novembre.
Un use-after-free si verifica quando la memoria viene rilasciata ma il software cerca successivamente di accedere alla stessa posizione di memoria. Se un attaccante può influenzare i contenuti successivamente posizionati in quella memoria, il riferimento obsoleto può potenzialmente essere manipolato per alterare il comportamento del programma.
In un browser web, le vulnerabilità di sicurezza della memoria sono particolarmente importanti perché il contenuto controllato dall’attaccante viene gestito abitualmente da componenti del browser complessi. Tuttavia, Google non ha ancora divulgato l’esatto oggetto XML coinvolto, la sequenza richiesta per innescare il bug, o il contenuto web specifico utilizzato dagli attaccanti.
Il problema di Chromium associato alla vulnerabilità è attualmente ristretto. Google limita regolarmente l’accesso ai dettagli tecnici dei bug finché la maggior parte degli utenti non ha ricevuto la patch, e le restrizioni possono persistere più a lungo quando un difetto esiste anche in software di terze parti.
Di conseguenza, diversi dettagli tecnici importanti restano sconosciuti. Le fonti disponibili non stabiliscono se lo sfruttamento richiede semplicemente la visita a una pagina malevola, l’apertura di contenuti XML appositamente creati, l’interazione con una pagina, o un altro meccanismo di distribuzione. Non confermano nemmeno se gli attaccanti stiano ottenendo l’esecuzione di codice all’interno di un renderer di Chrome, sfuggendo alla sandbox del browser, o combinando la vulnerabilità con un altro difetto.
The Hacker News osserva che i bug use-after-free possono potenzialmente portare a corruzione dei dati, crash, o esecuzione di codice arbitrario. Questo descrive l’impatto generale sulla sicurezza di questa classe di vulnerabilità piuttosto che una descrizione confermata da Google della precisa catena di sfruttamento usata contro CVE-2026-125350.
La dichiarazione di Google è comunque significativa perché l’azienda conferma esplicitamente che esiste un exploit in natura. Ciò significa che la vulnerabilità dovrebbe essere trattata come una priorità di patching immediata anche se le informazioni tecniche riguardanti gli attacchi rimangono limitate.
La vulnerabilità è stata segnalata anonimamente a Google il 6 novembre 2026. Solo tre giorni dopo, il 9 novembre, Google ha rilasciato build stabili patchate per Windows, macOS e Linux e ha riconosciuto lo sfruttamento attivo.
L’aggiornamento contenente la correzione della zero-day affronta in totale nove problemi di sicurezza. Altri difetti ad alta gravità includono un problema di risorsa non inizializzata in WebGL, un’autorizzazione errata in FileSystem, un overflow di buffer in Compositing, una scrittura fuori i limiti in GPU, una vulnerabilità di confusione di tipo in V8, e un altro problema use-after-free in XML tracciato come CVE-2026-125346. Sono state patchate anche due vulnerabilità di media gravità nel GPU.
La presenza di CVE-2026-125346 nella stessa release è degna di distinzione rispetto alla vulnerabilità sfruttata attivamente. Entrambi i problemi coinvolgono condizioni use-after-free nella funzionalità XML di Chrome, ma Google ha dichiarato solo che CVE-2026-125350 viene sfruttato in natura.
Google ha rilasciato le seguenti versioni stable fisse:
| Piattaforma | Versione stabile di Chrome fissa |
| Windows | 157.0.8103.50/.51 |
| macOS | 157.0.8103.50/.51 |
| Linux | 157.0.8103.50 |
Gli utenti di Extended Stable su Windows e macOS dovrebbero passare alla versione 156.0.8078.96 o successiva.
Poiché gli aggiornamenti di Chrome vengono distribuiti progressivamente, un browser installato potrebbe non ricevere immediatamente la versione patchata. Gli utenti e gli amministratori dovrebbero pertanto verificare il build in esecuzione effettivo invece di presumere che gli aggiornamenti automatici abbiano già risolto il problema.
Anche la situazione PoC di CVE-2026-125350 richiede cautela. Google conferma che gli attaccanti possiedono un exploit funzionante, ma né Google né i due rapporti forniti identificano una prova di concetto pubblicamente rilasciata che riproduce l’exploit. I dettagli del bug di Chromium rimangono ristretti, il che limita la capacità dei difensori di riprodurre la vulnerabilità o identificare artefatti specifici dell’exploit.
Per il rilevamento di CVE-2026-125350, le organizzazioni dovrebbero iniziare con la gestione dell’esposizione. I team di sicurezza dovrebbero inventariare le versioni di Chrome su tutti gli endpoint e identificare i sistemi che eseguono build più vecchie delle versioni fisse. I server esposti a Internet non sono la principale preoccupazione qui; le workstation dei dipendenti e altri sistemi usati per la navigazione web meritano immediata attenzione.
La telemetria degli endpoint può fornire ulteriori opportunità di indagine. I difensori dovrebbero indagare su processi insoliti originati da Chrome, in particolare interpreti di comandi, motori di scripting, utility di sistema o eseguibili scaricati di recente che appaiono immediatamente dopo l’attività del browser.
Comportamenti sospetti possono includere l’esecuzione inaspettata di PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe, o altre utility da un albero di processi correlato a Chrome. Tale attività non è specifica per questa vulnerabilità e non dovrebbe da sola essere considerata come prova di sfruttamento, ma può fornire un utile segnale comportamentale quando combinata con versioni vulnerabili del browser e attività di navigazione sospette.
I team di sicurezza dovrebbero anche esaminare la telemetria degli endpoint per crash di Chrome insoliti o fallimenti del renderer seguiti da nuova esecuzione di processi, creazione di file, accesso alle credenziali, persistenza, o connessioni di rete. I crash del browser da soli sono comuni e quindi richiedono una correlazione con altre prove.
La telemetria del web proxy, DNS, gateway web sicuro e browser degli endpoint può aiutare a ricostruire l’attività degli utenti immediatamente prima dell’esecuzione sospetta. Le organizzazioni dovrebbero preservare la cronologia di navigazione pertinente e i log di rete se si sospetta uno sfruttamento, in particolare perché Google non ha pubblicato informazioni sui siti web o infrastrutture utilizzati negli attacchi osservati.
Attualmente non ci sono IOC di CVE-2026-125350 pubblicati da fornitori come domini malevoli, indirizzi IP, hash di payload, o infrastrutture degli attaccanti. Google non ha neanche divulgato gli attori della minaccia responsabili, le organizzazioni colpite, l’ambito della campagna, o il targeting geografico.
Questa mancanza di indicatori statici rende particolarmente importante il monitoraggio basato sul comportamento e la rapida gestione delle versioni del browser. Una caccia basata esclusivamente su hash o domini noti non può determinare in modo affidabile se un ambiente ha incontrato sfruttamenti quando l’infrastruttura di attacco pubblica rimane sconosciuta.
Le organizzazioni che utilizzano browser basati su Chromium come Microsoft Edge, Brave, Opera e Vivaldi dovrebbero monitorare le rispettive osservazioni dei fornitori e implementare aggiornamenti di sicurezza pertinenti non appena disponibili. The Hacker News raccomanda specificamente agli utenti di questi browser di applicare correzioni quando i fornitori le rilasciano.
Mitigazione di CVE-2026-125350
La soluzione principale è aggiornare immediatamente Google Chrome a una versione fissa e riavviare il browser in modo che il build corretto sia in esecuzione.
Google ha rilasciato:
- Chrome 157.0.8103.50/.51 per Windows
- Chrome 157.0.8103.50/.51 per macOS
- Chrome 157.0.8103.50 per Linux
- Chrome Extended Stable 156.0.8078.96 per Windows e macOS
Chrome normalmente scarica gli aggiornamenti automaticamente, ma gli utenti devono riavviare il browser affinché il build aggiornato sostituisca il processo in esecuzione vulnerabile. The Hacker News consiglia di aprire Altro → Aiuto → Informazioni su Google Chrome e rilanciare dopo che l’aggiornamento è installato.
I team di sicurezza aziendali dovrebbero prendere le seguenti azioni:
- Inventariare le versioni di Chrome su tutti gli endpoint gestiti.
- Dare priorità ai sistemi che eseguono ancora versioni più anziane dei build Stable o Extended Stable fissi.
- Forzare o accelerare gli aggiornamenti di Chrome mediante strumenti di gestione del browser aziendale.
- Verificare che i browser si siano effettivamente riavviati dopo aver ricevuto la patch.
- Monitorare gli endpoint che non possono essere aggiornati immediatamente per processi sospetti originati dal browser.
- Limitare l’accesso a infrastrutture web malevole o di nuova registrazione note tramite i controlli di sicurezza web esistenti.
- Esaminare la telemetria di sicurezza per attività sospette di Chrome che si sono verificate prima del dispiegamento della patch.
- Monitorare gli avvisi dei fornitori per i browser basati su Chromium e aggiornare tali prodotti quando le correzioni diventano disponibili.
Poiché lo sfruttamento è già avvenuto in natura, il patching non dovrebbe essere l’unica risposta per i sistemi che potrebbero essere stati esposti. Gli amministratori dovrebbero considerare di esaminare l’attività recente sugli endpoint vulnerabili, specialmente dove gli strumenti di sicurezza hanno registrato crash di Chrome insoliti, esecuzione di comandi originati dal browser, download sospetti o connessioni a infrastrutture non fidate.
Se viene scoperta attività sospetta, isolare l’endpoint interessato e preservare la telemetria del browser, EDR, DNS, proxy e rete prima della mitigazione. Gli investigatori dovrebbero ricostruire l’attività del browser precedente all’evento e determinare se si sono verificati payload successivi, furto di credenziali, persistenza o movimento laterale.
Le organizzazioni dovrebbero anche verificare se il browser fosse in esecuzione con un account con accesso a sessioni web sensibili, applicazioni aziendali, console cloud o credenziali privilegiate. A seconda delle prove di compromissione, la revoca della sessione e la rotazione delle credenziali potrebbero essere appropriate.
La divulgazione limitata di Google significa che i difensori non hanno attualmente abbastanza informazioni pubbliche per costruire una firma per l’exploit effettivo. Ciò sottolinea l’importanza della gestione delle patch e del rilevamento dello sfruttamento generico piuttosto che aspettare una firma di rete o file affidabile.
FAQ
Cos’è CVE-2026-125350 e come funziona?
CVE-2026-125350 è una vulnerabilità use-after-free ad alta gravità nella componente XML di Google Chrome. I difetti use-after-free si verificano quando il software accede alla memoria dopo che è stata rilasciata, potenzialmente portando a crash, corruzione della memoria o esecuzione di codice controllato dall’attaccante. Google non ha divulgato il trigger esatto o la catena di exploit poiché i dettagli tecnici del bug rimangono ristretti.
Quando è stata scoperta per la prima volta CVE-2026-125350?
Un ricercatore di sicurezza anonimo ha segnalato la vulnerabilità a Google il 6 novembre 2026. Google ha rilasciato l’aggiornamento del canale stabile patchato di Chrome il 9 novembre e ha simultaneamente confermato che un exploit esiste in natura.
Qual è l’impatto di CVE-2026-125350 sui sistemi?
Il difetto può causare violazioni della sicurezza della memoria nella componente XML di Chrome. Le vulnerabilità use-after-free possono potenzialmente portare a crash del browser, corruzione dei dati o esecuzione di codice, ma Google non ha divulgato le capacità esatte raggiunte dagli attaccanti che sfruttano questa zero-day né se è necessario un altro difetto per l’evasione del sandbox o compromissioni di sistema più ampie.
CVE-2026-125350 può ancora colpirmi nel 2026?
Sì. Google ha confermato uno sfruttamento attivo, quindi le installazioni di Chrome che non hanno raggiunto le versioni Stabili o Extended Stabili corrette dovrebbero essere considerate a rischio elevato. Al 10 novembre 2026, Google non ha divulgato gli attori, gli obiettivi o la portata degli attacchi, e SecurityWeek riporta che CISA non ha ancora aggiunto la vulnerabilità a KEV.
Come posso proteggermi da CVE-2026-125350?
Aggiorna Chrome alla versione 157.0.8103.50/.51 su Windows o macOS, 157.0.8103.50 su Linux, o Extended Stable 156.0.8078.96 dove applicabile, e riavvia il browser. I difensori aziendali dovrebbero verificare il dispiegamento sugli endpoint, indagare su attività sospette su sistemi che sono rimasti vulnerabili e seguire le note di rilascio di Google per dettagli aggiornati su CVE-2026-125350 non appena le informazioni tecniche diventano disponibili.
