Google ha rilasciato l'8 giugno 2026 un aggiornamento di emergenza per Chrome che corregge CVE-2026-11645, vulnerabilità zero-day nel motore JavaScript V8 già attivamente sfruttata in natura. La falla consente lettura e scrittura out-of-bounds con esecuzione di codice arbitrario dentro la sandbox del browser. È il quinto zero-day di Chrome in appena sei mesi: una frequenza che trasforma l'incidente isolato in pattern sistemico e stressa le capacità di patch management di ogni organizzazione.
- CVE-2026-11645: out-of-bounds read/write nel motore V8, confermata da Google come attivamente sfruttata con exploit in-the-wild.
- CVSS 8.8 HIGH secondo CISA-ADP su NVD: attacco remoto senza privilegi, richiede interazione utente, impatto completo su confidenzialità, integrità e disponibilità.
- Versioni corrette: Chrome 149.0.7827.102 per Windows e Linux, 149.0.7827.103 per macOS; rollout automatico stimato in giorni o settimane.
- CISA ha inserito la vulnerabilità nel Known Exploited Vulnerabilities Catalog il 9 giugno con due date fissata al 23 giugno 2026 per le agenzie federali statunitensi.
La falla V8: heap corruption via pagina HTML
La vulnerabilità risiede nel motore JavaScript V8, componente core di Chrome che esegue il codice JS delle pagine web. Google e il National Vulnerability Database la classificano come out-of-bounds read and write: un attaccante remoto induce il browser ad accedere a memoria oltre i confini del buffer allocato, generando heap corruption tramite pagina HTML appositamente costruita. NVD descrive la sequenza: "Out of bounds read and write in V8 in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page".
La corruzione della memoria heap espone due vettori simultanei: lettura di dati sensibili al di fuori dei limiti previsti e scrittura che altera strutture di controllo adiacenti. Google classifica la severità come "High" nel proprio sistema Chromium. CISA-ADP assegna CVSS 3.1 8.8 con vettore AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H: attacco da rete, bassa complessità, nessun privilegio richiesto, ma necessaria interazione utente. Il punteggio non dipende dall'NVD originale, che non fornisce assessment proprio.
BleepingComputer riporta che la falla permette bypass delle protezioni ASLR, agevolando l'esecuzione di codice quando concatenata con altre weakness. Non emergono nel dossier conferme di exploit chain con sandbox escape completo: resta ipotesi plausibile ma non documentata.
La timeline: da segnalazione anonoma a patch in due settimane
La vulnerabilità è stata segnalata da un ricercatore anonimo circa due settimane prima del rilascio ufficiale. Google ha mantenuto restrizioni sui dettagli tecnici completi, coerentemente con la prassi espressa nell'advisory: "Access to bug details and links may be kept restricted until a majority of users are updated with a fix". La motivazione è duplice: prevenire replicazione dell'exploit prima del massiccio deployment, e proteggere librerie terze che potrebbero condividere lo stesso codice vulnerabile.
Le versioni corrette sono Chrome Stable 149.0.7827.102 per Windows e Linux, 149.0.7827.103 per macOS. Google avverte esplicitamente che l'aggiornamento automatico potrebbe richiedere "days or weeks" per propagarsi all'intera base installata. Il dossier non specifica meccanismi per forzare l'update o identificare installazioni già patchate in ambiente enterprise.
Il conto dei zero-day: cinque in sei mesi, otto nel 2025
CVE-2026-11645 è il quinto zero-day di Chrome attivamente sfruttato nel 2026. BleepingComputer e Security Affairs documentano i quattro predecessori: CVE-2026-2441 in febbraio (CSS), CVE-2026-3909 e CVE-2026-3910 in marzo (rispettivamente Skia e V8), CVE-2026-5281 in aprile (Dawn/WebGPU). Il 2025 ha registrato otto zero-day corretti da Google, secondo la stessa fonte. La concentrazione nel motore di rendering e nei componenti grafici suggerisce pressione offensiva sostenuta contro la superficie di attacco del browser, non incidenti sporadici.
La distribuzione temporale — febbraio, marzo (due), aprile, giugno — mostra intervalli irregolari ma mai superiori a due mesi. Per le aziende questo invalida ogni approccio di patching trimestrale o su ciclo mensile fissato: la finestra di esposizione è definita dall'attività degli attori offensivi, non dal calendario IT.
"Google is aware that an exploit for CVE-2026-11645 exists in the wild" — Google security advisory, citato da BleepingComputer
Cosa fare adesso
Le fonti convergenti indicano quattro azioni prioritarie per organizzazioni e utenti singoli:
- Verificare la versione installata e confermare il passaggio a Chrome 149.0.7827.102 (Windows/Linux) o 149.0.7827.103 (macOS); su sistemi managed, forzare l'update tramite policy enterprise se il rollout automatico risulta ritardato.
- Monitorare la propagazione dell'aggiornamento considerando l'avviso Google di delay potenziale di giorni o settimane: le installazioni non aggiornate restano esposte per finestra temporale non definita dal dossier.
- Tracciare la due date CISA KEV al 23 giugno 2026 per eventuali obblighi di compliance o vendor assessment legati al catalogo federale statunitense.
- Rivalutare la frequenza del patch management browser alla luce del pattern 2026: cinque zero-day in sei mesi impongono cicli di aggiornamento più aggressivi di quelli tradizionali per software non-sistema.
Perché la normalizzazione del rischio è il vero problema
La lettura tecnica converge su un dato di sistema più che su una singola falla. Chrome detiene quota dominante in ambiente enterprise e consumer: quando il browser stesso diviene vettore di esecuzione codice remoto via pagina web legittima compromessa, il perimetro di difesa si contrae al singolo clic. La frequenza dei zero-day 2026 indica che questo non è scenario limite ma condizione operativa ricorrente.
Il motore V8 è ricorrente bersaglio: due dei cinque zero-day dell'anno coinvolgono JavaScript core. La sandbox di Chrome, pur contenendo l'esecuzione, non elimina il rischio di concatenazione con altre vulnerabilità per escape. Google non ha divulgato identità di attaccanti, campagne specifiche o vettori di delivery precisi: il dossier non documenta se l'exploit circoli come attachment HTML in phishing, drive-by download da siti compromessi, o altro canale.
L'impatto lettura è nel mismatch tra velocità offensiva e velocità difensiva. Quando la patch impiega settimane per propagarsi e la prossima vulnerabilità zero-day è attesa entro mesi, la resilienza dipende dalla capacità di reazione, non dalla prevenzione assoluta. La deadline CISA del 23 giugno è segnale di priorità nazionale, ma la base installata globale non è vincolata a quel calendario: l'esposizione continua dove il rollout automatico non è forzato.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/google-patches-fifth-chrome-zero-day-bug-exploited-in-attacks-this-year/
- https://www.scworld.com/brief/google-releases-emergency-update-for-fifth-chrome-zero-day-exploited-in-the-wild-this-year
- https://securityaffairs.com/193371/hacking/google-fixes-fifth-actively-exploited-chrome-zero-day-of-2026.html
- https://www.secnews.gr/en/714188/chrome-zero-day-cve-2026-11645-update/
- https://nvd.nist.gov/vuln/detail/CVE-2026-11645
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/