Google patcha zero-day Chrome: aggiornamento urgente per 3 miliardi di utenti

Google ha distribuito l'aggiornamento di sicurezza 152.0.7977.82/.83 per Chrome il 3 settembre 2026, patchando CVE-2026-85046, vulnerabilità zero-day nel motore JavaScript V8 con confermata exploitazione in-the-wild. Il bug, classificato CVSS 8.8 (High), permette a un attaccante di eseguire codice arbitrario nel processo renderer attraverso il semplice caricamento di una pagina HTML appositamente costruita. Per circa tre miliardi di utenti desktop, la posta in gioco è immediata: la navigazione ordinaria può trasformarsi in compromissione del browser senza interazione aggiuntiva.

Il meccanismo: perché una type confusion in V8 conta

Il cuore della vulnerabilità risiede nel motore V8, il compilatore JavaScript e WebAssembly di Chrome che trasforma il codice in linguaggio macchina attraverso la compilazione JIT (Just-In-Time). Gulizia ha documentato un errore nei compilatori V8 per cui un array contenente PACKED_ELEMENTS — elementi di tipo generico — viene trattato come se avesse la mappa PACKED_SMI_ELEMENTS, riservata a interi a piccola dimensione. Questa confusione di tipo abbatte i controlli di integrità della memoria e consente lettura e scrittura arbitraria sul JavaScript heap.

Il processo renderer di Chrome opera dentro una sandbox che limita l'accesso al sistema operativo, ma l'esecuzione di codice all'interno di quel contesto rimane un rischio rilevante. Un attaccante che controlli il renderer può sottrarre dati di sessione, manipolare il contenuto visualizzato, fungere da pivot per attacchi più ampi contro l'utente. La descrizione ufficiale di CVE.org, citata da The Hacker News, è inequivocabile: la falla "allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page".

"V8 bug in the compilers that leads to an array containing PACKED_ELEMENTS to receive the map PACKED_SMI_ELEMENTS, this can be turned into arbitrary read/write on the JavaScript heap" — Salvatore Gulizia (Serotav)

Il paradosso del bounty: $1.000 per una zero-day attivamente sfruttata

La cifra del bug bounty — $1.000 — ha già acceso discussioni tra analisti e ricercatori. La motivazione formale di Google per i pagamenti VRP (Vulnerability Rewards Program) lega la ricompensa alla gravità e alla qualità del report, non direttamente all'impatto osservato in-the-wild. Tuttavia, il divario tra questa cifra e il potenziale valore commerciale di un exploit browser zero-day sul mercato grigio o nero rimana abissale. Stime del settore collocano i prezzi per chain complete contro browser moderni in cifre che superano il milione di dollari.

Il caso solleva interrogativi strutturali sulla sostenibilità del disclosure etico. Se il mercato alternativo premia decine o centinaia di migliaia di volte di più, il sistema di incentivi per la segnalazione responsabile rischia di perdere appeal proprio per le vulnerabilità più pericolose. Non emergono, dallo stato attuale delle fonti, elementi che spieghino se Google abbia applicato una scala ridotta per specifici limiti del report o per il perimetro di impatto inizialmente valutato.

Zero-day V8 nel 2026: un trend da leggere con cautela

CVE-2026-85046 è il sesto zero-day attivamente sfruttato patchato da Google nel corso del 2026. A giugno, CVE-2026-11645 — anch'esso nel motore V8 — aveva già richiesto un intervento d'urgenza con identico punteggio CVSS 8.8. Le due vulnerabilità non sono correlate tecnicamente: meccanismi, scopritori e timing differiscono. La convergenza su V8 come superficie d'attacco privilegiata, però, segnala una maturazione delle capacità offensive contro Chrome che i difensori devono tenere in conto.

L'accumulo di zero-day nel motore JavaScript riflette in parte la complessità crescente di V8 — con i suoi compilatori multi-tier, l'ottimizzazione speculativa, la gestione della memoria generazionale — e in parte la centralità del browser come gateway d'accesso ai servizi aziendali critici. Ogni utente Chrome è un potenziale obiettivo; ogni endpoint aziendale con accesso a SaaS sensibili rappresenta un multiplicatore di impatto. Le fonti non documentano, allo stato attuale, campagne specifiche legate a CVE-2026-85046 né attribuzioni ad attori di minaccia noti.

Cosa fare adesso

• Verificare la versione installata e aggiornare immediatamente a Chrome 152.0.7977.82 o superiori; su Windows e macOS la build è .83, su Linux .82.
• Accelerare il deployment sui endpoint aziendali attraverso i canali di gestione centralizzata (WSUS, SCCM, Chrome Enterprise), dato che Google ha limitato i dettagli tecnici per ridurre il rischio di reverse engineering precoce.
• Monitorare i log di rete per anomalie nel comportamento del processo renderer di Chrome, in particolare pattern di allocazione memoria insoliti o crash ricorrenti del motore JavaScript.
• Esaminare i requisiti di business per l'uso di browser alternativi o isolati per applicazioni critiche, valutando se l'esposizione a contenuti web non fidati possa essere ridotta in attesa della completa copertura del parco.

L'ombra delle exploit in-the-wild e la scelta del silenzio

Google ha adottato la sua consueta politica di restraint disclosure: fino a quando la maggioranza degli utenti non avrà applicato l'aggiornamento, i dettagli sugli attacchi osservati restano sotto embargo. Questa scelta difensiva è comprensibile — ogni informazione aggiuntiva abbassa il costo di reverse engineering per gli attaccanti — ma impone ai team di sicurezza una corsa contro il tempo senza piena visibilità sulla minaccia.

Il limite del dossier è evidente: non emergono vettori di attacco confermati (watering hole, phishing mirato, compromissione di siti legittimi), né è nota la scala geografica o settoriale degli exploit. Resta ignoto se CVE-2026-85046 sia stato impiegato in isolamento o come componente di una catena di attacco più ampia con sandbox escape. La data di inizio delle campagne attive — prima o dopo il 4 agosto 2026, giorno della segnalazione — non è documentata nelle fonti disponibili.

Quel che resta è la certezza tecnica: una pagina HTML sufficiente a compromettere il renderer, una patch disponibile, e un'ecosistema di miliardi di installazioni che ora deve muoversi. Nel mercato degli exploit, i giorni tra il rilascio della patch e l'adozione di massa sono la finestra che conta. Per i team IT, quella finestra è già aperta.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/google-releases-chrome-update-to-patch.html
• https://www.rapid7.com/blog/post/etr-papercut-ng-mf-critical-zero-day-exploited-in-the-wild
• https://securityonline.info/chrome-zero-day-vulnerability/
• https://gbhackers.com/google-chrome-v8-flaw/
• https://cyberpress.org/google-chrome-v8-flaw-exploited/
• https://www.bleepingcomputer.com/news/security/google-patches-fifth-chrome-zero-day-bug-exploited-in-attacks-this-year/
• https://nvd.nist.gov/vuln/detail/CVE-2026-11645
• https://github.com/rapid7/metasploit-framework/pull/21842
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html