Segui Google ha rilasciato un aggiornamento di sicurezza urgente per Chrome che affronta una vulnerabilità zero-day di alta gravità che è già sfruttata in natura. Tracciata come CVE-2026-85046 e valutata 8.8 sulla scala CVSS, la falla è un problema di confusione di tipo in V8, il motore JavaScript e WebAssembly utilizzato da Google Chrome.
Lo sfruttamento riuscito può permettere a un attaccante remoto di eseguire codice arbitrario all’interno del sandbox di Chrome dopo che una vittima visita una pagina HTML appositamente predisposta. Google ha confermato l’esistenza di un exploit in natura ma non ha divulgato informazioni sui gruppi di minacce, organizzazioni bersagliate, o campagne di attacco mentre l’aggiornamento è ancora in fase di distribuzione.
CVE-2026-85046 riguarda le versioni di Chrome precedenti alla 152.0.7977.82. Google ha rilasciato Chrome 152.0.7977.82/.83 per Windows e macOS e 152.0.7977.82 per Linux, con l’aggiornamento di sicurezza distribuito progressivamente agli utenti.
La vulnerabilità è il sesto zero-day di Chrome affrontato da Google nel 2026 dopo aver gestito precedentemente difetti sfruttati come CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 e CVE-2026-11645.
Analisi di CVE-2026-85046
La vulnerabilità è categorizzata come CWE-843: Accesso a risorsa usando tipo incompatibile, comunemente nota come confusione di tipo. Questa classe di debolezza riguardante la sicurezza della memoria si verifica quando il software tratta in modo errato un oggetto come un tipo di dato diverso da quello effettivamente memorizzato in memoria.
Nei motori JavaScript come V8, ipotesi errate sui tipi di oggetto possono diventare particolarmente pericolose poiché percorsi del compilatore altamente ottimizzati dipendono da informazioni accurate su come gli array e gli oggetti sono rappresentati in memoria.
Il ricercatore di sicurezza Salvatore Gulizia, noto anche come Serotav, ha spiegato che la falla coinvolge il comportamento del compilatore V8 dove un array contenente PACKED_ELEMENTS può ricevere erroneamente una mappa PACKED_SMI_ELEMENTS. Tale disallineamento può essere trasformato in accesso di lettura e scrittura arbitrari all’interno dello heap di JavaScript.
I dettagli più importanti per CVE-2026-85046 sono che lo sfruttamento è raggiungibile remotamente, non richiede privilegi esistenti, e può essere consegnato tramite contenuti web dannosi. Il vettore CVSS pubblicato indica che è richiesta l’interazione dell’utente, il che significa che la vittima deve caricare contenuti controllati dall’attaccante, come visitando una pagina malevola o compromessa.
Uno scenario tipico di sfruttamento potrebbe iniziare quando un utente segue un link phishing, incontra un annuncio malevolo o visita un sito web legittimo che è stato compromesso. Contenuti JavaScript o HTML creati ad hoc potrebbero quindi innescare la confusione di tipo V8 e corrompere le ipotesi che Chrome utilizza quando accede agli oggetti in memoria.
La primitiva risultante può abilitare l’esecuzione di codice arbitrario all’interno del sandbox di Chrome. Questa distinzione è importante: CVE-2026-85046 da sola non fornisce necessariamente un controllo completo sul sistema operativo sottostante. Un attore di minacce che cerca una compromissione completa dell’host normalmente avrebbe bisogno di combinare l’esecuzione del codice del browser con una fuga dal sandbox aggiuntiva o una vulnerabilità di escalation dei privilegi.
Google ha deliberatamente limitato l’accesso al rapporto di bug di Chromium mentre la maggior parte degli utenti riceve la patch. Questa è pratica standard per le vulnerabilità di Chrome sfruttate attivamente perché la pubblicazione dei dettagli tecnici completi troppo rapidamente potrebbe facilitare ulteriori attaccanti nel reverse-engineering e nell’uso ostile della falla.
La vulnerabilità è stata segnalata a Google da Salvatore Gulizia il 4 agosto 2026. Google ha assegnato al ricercatore una ricompensa per il bug di $1.000, e la falla è stata pubblicamente corretta come parte dell’aggiornamento del canale stabile del 3 settembre.
L’aggiornamento corregge in totale 12 vulnerabilità di sicurezza. Oltre al problema V8 sfruttato, Google ha affrontato debolezze di alta gravità che coinvolgono CrashReporting, Network, Compositing, un’altra condizione di gara V8, WebGL, CacheStorage, DevTools e Skia, oltre a due problemi di gravità media.
Google ha confermato lo sfruttamento attivo ma non ha rilasciato un PoC pubblico per CVE-2026-85046. L’accesso al problema di Chromium sottostante rimane anch’esso limitato, limitando le informazioni tecniche attualmente disponibili per la riproduzione dell’exploit.
Non ci sono nemmeno IOC specifici per la campagna CVE-2026-85046 pubblicati da Google. La compagnia non ha identificato domini malevoli, indirizzi IP, hash dei payload o specifiche infrastrutture di sfruttamento associate agli attacchi osservati.
L’assenza di indicatori pubblici rende l’esposizione alla vulnerabilità e la telemetria comportamentale più importanti dell’intelligence sulle minacce statica. Le organizzazioni dovrebbero presumere che qualsiasi endpoint che esegue una versione del browser vulnerabile possa rimanere esposto quando gli utenti navigano su contenuti controllati dall’attaccante.
Mitigazione di CVE-2026-85046
Google consiglia di aggiornare immediatamente Chrome a:
- 152.0.7977.82/.83 o successiva su Windows
- 152.0.7977.82/.83 o successiva su macOS
- 152.0.7977.82 o successiva su Linux
Gli utenti possono verificare la versione installata aprendo Chrome → Guida → Informazioni su Google Chrome. Il browser controllerà automaticamente la disponibilità di aggiornamenti, ma Chrome deve essere riavviato dopo l’installazione affinché la nuova versione e le correzioni di sicurezza diventino attive.
Gli amministratori enterprise dovrebbero verificare la distribuzione piuttosto che affidarsi esclusivamente al graduale rollout automatico di Chrome. Gli endpoint gestiti che non sono stati riavviati dopo aver ricevuto l’aggiornamento potrebbero continuare a eseguire il processo del browser vulnerabile fino a quando gli utenti non riavviano Chrome.
Il rilevamento di CVE-2026-85046 dovrebbe iniziare con l’inventario degli endpoint. I team di sicurezza dovrebbero identificare i sistemi che eseguono versioni di Chrome precedenti alla 152.0.7977.82 e dare priorità agli endpoint esposti alla navigazione esterna, link e-mail, pubblicità web e altri contenuti web non fidati.
Per rilevare lo sfruttamento di CVE-2026-85046 o attività sospette del browser, i difensori dovrebbero cercare combinazioni di:
- Arresti anomali del renderer di Chrome seguiti da attività anomala del processo
- Processi inaspettati avviati dall’albero del processo di Chrome
- Avvisi di sfruttamento del browser generati da strumenti EDR o di protezione degli endpoint
- Comportamenti sospetti di corruzione della memoria che coinvolgono Chrome o V8
- Visite a siti web appena registrati, compromessi o noti come malevoli immediatamente prima di un’attività anomala
- Attività eseguibile o di script inaspettata successiva ad una sessione del browser
- Tentativi di sfruttare una seconda vulnerabilità dopo la compromissione del renderer di Chrome
- Nuova persistenza o attività di escalation dei privilegi che si verifica immediatamente dopo un comportamento sospetto del browser
Questi segnali sono spunti di caccia piuttosto che firme specifiche per l’exploit poiché Google non ha divulgato la tecnica di sfruttamento in-the-wild.
Le organizzazioni dovrebbero anche esaminare la telemetria dei proxy web, DNS, EDR e della sicurezza delle e-mail intorno agli eventi sospetti di Chrome. Poiché lo sfruttamento richiede il caricamento di contenuti web appositamente predisposti, correlando gli arresti anomali del browser o l’attività del processo figlio insolita con i domini visitati di recente può aiutare a identificare possibile catene di attacco.
I browser basati su Chromium come Microsoft Edge, Brave, Opera e Vivaldi si affidano anche a componenti Chromium, incluso V8. Gli utenti di questi prodotti dovrebbero installare gli aggiornamenti del fornitore contenenti la corrispondente correzione di sicurezza Chromium appena tali versioni diventano disponibili.
Poiché lo sfruttamento era già in corso prima della divulgazione pubblica, la mitigazione di CVE-2026-85046 dovrebbe includere sia il rapido patching che l’indagine retrospettiva dell’attività sospetta del browser sui sistemi che sono rimasti vulnerabili prima del 3 settembre.
FAQ
Cos’è CVE-2026-85046 e come funziona?
CVE-2026-85046 è una vulnerabilità di confusione di tipo di alta gravità nel motore V8 JavaScript e WebAssembly di Chrome. Contenuti HTML o JavaScript appositamente predisposti possono causare la gestione errata dei tipi di oggetto di memoria da parte di V8, creando capacità di lettura/scrittura arbitraria che possono infine consentire l’esecuzione di codice controllata dall’attaccante all’interno del sandbox del browser.
Quando è stato scoperto per la prima volta CVE-2026-85046?
Il ricercatore di sicurezza Salvatore Gulizia, noto anche come Serotav, ha segnalato la vulnerabilità a Google il 4 agosto 2026. Google ha rilasciato pubblicamente la correzione di sicurezza il 3 settembre 2026 e ha confermato in quel momento che un exploit esisteva già in natura.
Qual è l’impatto di CVE-2026-85046 sui sistemi?
Lo sfruttamento riuscito può permettere a un attaccante remoto di eseguire codice arbitrario nel sandbox di Chrome dopo che un utente carica contenuti web dannosi. Una compromissione completa del sistema operativo può richiedere la combinazione della falla con un’altra vulnerabilità capace di sfuggire al sandbox di Chrome.
CVE-2026-85046 può ancora influenzarmi nel 2026?
Sì. Qualsiasi installazione desktop di Chrome che esegue una versione precedente alla 152.0.7977.82 rimane vulnerabile. Il rischio è particolarmente urgente poiché Google ha confermato che gli attaccanti stanno già sfruttando la falla in attacchi reali.
Come posso proteggermi da CVE-2026-85046?
Aggiorna Chrome immediatamente a 152.0.7977.82/.83 o successiva su Windows e macOS, o 152.0.7977.82 o successiva su Linux, e riavvia il browser per attivare la correzione. I difensori aziendali dovrebbero verificare le versioni degli endpoint e indagare sull’attività sospetta del browser che si è verificata prima che i sistemi fossero aggiornati.
