Patch Day: Mozilla conferma exploit pubblici per Firefox, Adobe…

Il 15 luglio 2026 quattro vendor hanno rilasciato aggiornamenti critici simultanei. Mozilla ha rarissimamente ammesso la disponibilità pubblica di exploit per

Il 15 luglio 2026 Mozilla, Google, Adobe e Broadcom/VMware hanno rilasciato contemporaneamente aggiornamenti di sicurezza critici per Firefox, Chrome, ColdFusion, Experience Manager e Avi Load Balancer. Mozilla ha confermato esplicitamente che codice di exploit pubblico esiste già per entrambe le vulnerabilità corrette in Firefox 152.0.6: una divulgazione che rompe la prassi standard dei vendor di non commentare lo stato di weaponization. Chrome ha corretto 15 flaw tra cui due use-after-free critiche nel layer Ozone, mentre Adobe ha chiuso 88 vulnerabilità con punte di CVSS 9.9 e VMware una bypass di autenticazione a 9.8. Nessuno dei vendor segnala attacchi in corso al momento della disclosure.

La concentrazione temporale e la disparità di filosofia — candor di Mozilla contro il controllo narrativo di Google, che limita i dettagli tecnici fino a completamento del rollout — creano una settimana di patching particolarmente compressa per i team enterprise.

Punti chiave

Mozilla ha rilasciato Firefox 152.0.6 il 15 luglio 2026 correggendo due criticità, CVE-2026-15718 e CVE-2026-15719, per cui esiste già codice di exploit pubblico secondo la conferma ufficiale del vendor.
Google ha distribuito Chrome 150.0.7871.124 (Linux) e 150.0.7871.125 (Windows/macOS) con 15 correzioni, tra cui due use-after-free critiche nel sottosistema Ozone (CVE-2026-15764 e CVE-2026-15765) che operano al confine di trust con il sistema operativo, fuori dalla sandbox del renderer.
Adobe ha pubblicato aggiornamenti per 88 vulnerabilità: otto in ColdFusion con CVSS da 9.0 a 9.9, due in Experience Manager al CVSS 9.6, e due in Commerce/Magento Open Source fino a 9.6.
VMware ha corretto in Avi Load Balancer CVE-2026-47865 (CVSS 9.8), bypass di autenticazione scoperto da un ricercatore del NATO Cyber Security Centre, che consente a un attaccante con accesso di rete di raggiungere il Control Plane.

La rarissima ammissione di Mozilla: exploit pubblici dichiarati senza attacchi confermati

Mozilla ha incluso nella propria advisory MFSA 2026-67 una formulazione che i vendor raramente usano: We are aware that exploit code for this is public, however we are not aware of any attacks in the wild abusing this flaw, citata da The Hacker News, TechTimes, SecurityWeek e Malwarebytes. La prima parte stabilisce un fatto oggettivo — il codice è disponibile —, la seconda limita il rischio: al momento della disclosure non risulta sfruttamento attivo.

CVE-2026-15718 è classificata come invalid pointer nel componente JavaScript: WebAssembly, con CVSS 4.3 MEDIUM (AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N) secondo il record NVD. CVE-2026-15719 è site isolation in DOM: Navigation, con CVSS 5.4 MEDIUM. Entrambe sono Critical nella classificazione interna di Mozilla nonostante i punteggi NVD moderati: la distanza tra severità tecnica NVD e priorità vendor riflette il diverso peso attribuito alla disponibilità di exploit funzionanti.

La scelta di dichiarare pubblicamente l'esistenza di exploit è funzionalmente opposta a quella di Google, che per Chrome mantiene il consolidato regime di embargo sui dettagli tecnici finché la maggioranza degli utenti non ha ricevuto l'aggiornamento via l'infrastruttura Omaha. Mozilla espone il rischio in chiaro, Google lo gestisce distribuendolo.

Ozone: perché le due critical di Chrome meritano attenzione fuori dal punteggio NVD

Le due vulnerabilità critiche di Chrome, CVE-2026-15764 e CVE-2026-15765, sono use-after-free nel sottosistema Ozone, l'astrazione display di Chrome che unifica il rendering su diverse piattaforme (Linux, ChromeOS, Wayland, X11). Secondo i record NVD, entrambe hanno CVSS 7.5 HIGH con vettore AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H e sono marcate Chromium security severity: Critical.

"Use after free in Ozone in Google Chrome on Linux prior to 150.0.7871.125 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page"
— NIST National Vulnerability Database, CVE-2026-15764

La posizione architetturale di Ozone è il motivo della severità interna elevata. Ozone si colloca al di fuori della sandbox del processo renderer di Chrome, al confine di trust con il sistema operativo. Un use-after-free in questo layer offre un percorso più diretto per l'escape della sandbox rispetto a un bug equivalente confinato nel renderer, dove il modello a processi di Chrome isola la maggior parte dei danni. TechTimes ha evidenziato questa distinzione come elemento che spiega perché Google classifichi Critical flaw con punteggi NVD che gli aggregatori potrebbero leggere come HIGH.

Un limite documentato nel dossier: i testi NVD di CVE-2026-15764 e CVE-2026-15765 presentano una variazione minima. CVE-2026-15764 specifica on Linux, mentre CVE-2026-15765 recita in Google Chrome senza restrizione di piattaforma. Se la seconda forma indica un ambito più ampio, l'esposizione aumenta significativamente; il dossier non chiarifica se la differenza sia intenzionale o artefatto dell'estrazione testuale dall'NVD.

Adobe: 88 vulnerabilità e la densità di CVSS 9+ nei prodotti esposti a rete

Adobe ha rilasciato il 15 luglio 2026 aggiornamenti per 88 vulnerabilità distribuite su più prodotti. ColdFusion concentra otto criticità con punteggi compresi tra CVSS 9.0 e 9.9, tutte con impatto RCE o escalation di privilegi. Secondo l'advisory ufficiale APSB26-82, CVE-2026-48318 (path traversal → RCE) tocca 9.9, seguita da CVE-2026-48322 (code injection → RCE) e CVE-2026-48284 (improper input validation → RCE) entrambe a 9.6. Le patch ufficiali sono ColdFusion 2025 Update 11 e ColdFusion 2023 Update 22, con priorità 1.

Adobe Experience Manager aggiunge CVE-2026-48259 (SSRF → RCE) e CVE-2026-48359 (XXE → RCE), entrambe a CVSS 9.6 secondo l'advisory APSB26-74. Adobe Commerce/Magento Open Source include CVE-2026-48356 (file upload → privilege escalation, CVSS 9.6) e CVE-2026-48358 (improper encoding/escaping → RCE, CVSS 9.1). La distribuzione di questi prodotti — server web esposti, spesso accessibili da rete per funzionalità di business — amplifica l'impatto rispetto a vulnerabilità client-side che richiedono interazione utente.

VMware Avi Load Balancer: la scoperta del NATO Cyber Security Centre

La correzione più grave nel portfolio Broadcom/VMware è CVE-2026-47865, bypass di autenticazione con CVSS 9.8 in Avi Load Balancer. La fonte primaria attribuisce la scoperta a Filip Waeytens del NATO Cyber Security Centre (NCSC), un'istanza rara di attribuzione istituzionale esplicita in advisory vendor. La vulnerabilità consente a un attaccante con accesso di rete di raggiungere il Control Plane dell'Avi Load Balancer senza autenticazione valida. Avi è un componente di infrastruttura tipicamente posizionato in segmenti di rete che richiedono disponibilità e visibilità: la combinazione di accessibilità di rete e mancanza di barriere di autenticazione rende il flaw particolarmente sensibile per gli ambienti enterprise, anche in assenza di sfruttamento osservato al momento della disclosure.

Cosa fare adesso

Verificare la distribuzione di Firefox 152.0.6 su tutti gli endpoint: la disponibilità pubblica di exploit per CVE-2026-15718 e CVE-2026-15719 comprime la timeline di weaponization a giorni, non settimane.
Forzare l'aggiornamento manuale di Chrome tramite Settings → About Google Chrome per bypassare il rollout graduale via Omaha, dato che le due critical Ozone (CVE-2026-15764, CVE-2026-15765) colpiscono un layer al confine della sandbox.
Applicare con priorità 1 le patch Adobe ColdFusion 2025 Update 11 e ColdFusion 2023 Update 22, trattando le otto criticità CVSS 9.0-9.9 come rilascio di infrastruttura esposta.
Isolare o aggiornare immediatamente le istanze VMware Avi Load Balancer, verificando che il Control Plane non sia raggiungibile da segmenti di rete non autorizzati in attesa del deploy della correzione.

La lezione del 15 luglio: due etiche di disclosure in collisione

La simultaneità degli aggiornamenti del 15 luglio 2026 mette a confronto due modelli di comunicazione del rischio che producono effetti opposti sui difensori. Mozilla, dichiarando l'esistenza di exploit pubblici, fornisce ai team security un'informazione azionabile ma aumenta la pressione emotiva e operativa. Google, oscurando i dettagli tecnici durante il rollout graduale, protegge gli utenti non aggiornati ma lascia i difensori enterprise a interagire con una minaccia non completamente caratterizzata.

La scelta di Mozilla è statisticamente rara: vendor e coordinatori di sicurezza tendono a evitare la menzione esplicita di exploit pubblici salvo quando il rilevamento è inevitabile o la responsabilità di disclosure è esterna. Che questo segnali un cambio di prassi o un caso isolato dipende dai prossimi cicli advisory. Per ora, la sola certezza è che il 15 luglio 2026 ha prodotto un Patch Day con quattro vendor, zero exploitation confermata in corso, e un'asimmetria di informazione che i team enterprise devono gestire senza filtri.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti