Chrome 152, 327 vulnerabilità corrette: una permette RCE fuori dalla sandbox

Google ha distribuito Chrome 152.0.7977.64/.65 il 26 agosto 2026 con un payload di correzioni record: 327 patch di sicurezza, di cui 10 critiche. Due vulnerabilità dominano il profilo di rischio. CVE-2026-79282, una use-after-free nel componente grafico ANGLE, permette esecuzione arbitraria di codice al di fuori della sandbox del browser — il caso peggiore per un software che gestisce contenuti non attendibili. CVE-2026-78899, use-after-free nel motore JavaScript V8, resta confinata nella sandbox ma presenta un punteggio CVSS di 8.8 su 10. L'aggiornamento è immediato per gli utenti: entrambe si attivano con la sola visita a una pagina HTML predisposta.

Il nucleo pericoloso: ANGLE e il bypass della sandbox

La vulnerabilità CVE-2026-79282 risiede in ANGLE, il backend grafico di Chromium che traduce chiamate OpenGL ES in API native (DirectX, Metal, Vulkan). Il record CVE ufficiale la classifica Critical con vettore "crafted HTML page" e impatto "execute arbitrary code outside the sandbox".

"A remote attacker could exploit it using a crafted HTML page to execute arbitrary code outside the browser sandbox"

La sandbox di Chrome è il perimetro difensivo che isola il renderer — il processo che interpreta HTML, CSS e JavaScript — dal sistema operativo. ANGLE opera in una posizione privilegiata nella catena di rendering. Una use-after-free in questo componente non richiede catene di exploit multiple: il codice arbitrario esce direttamente dal contenitore protetto. Secondo la fonte, questa vulnerabilità "turn a visit to a malicious or compromised website into direct code execution on the underlying operating system, often without requiring additional exploitation steps".

Il record CVE-2026-79282 riporta una specificità: "Google Chrome on Android prior to 152.0.7977.65". La fonte primaria, Malwarebytes, descrive invece la minaccia come rilevante per browser desktop su Windows, Mac e Linux. Il dossier non contiene elementi che spieghino questa discrepanza tra la portata Android del record ufficiale e la portata desktop dell'advisory del vendor di sicurezza.

V8 e la catena di compromissione: dentro e fuori la sandbox

CVE-2026-78899 colpisce V8, il motore JavaScript di Chrome, ed è classificata come use-after-free con punteggio CVSS 8.8 su 10. Il vettore è identico: pagina HTML predisposta. L'impatto però differisce: esecuzione arbitraria dentro la sandbox, non fuori.

La distinzione non è accademica. Una vulnerabilità inside-sandbox richiede tipicamente una seconda falla — un escape o un broker bypass — per arrivare al sistema operativo. Tuttavia il CVSS 8.8 indica impatto elevato su riservatezza, integrità e disponibilità, con vettore di rete, complessità di attacco bassa e interazione utente limitata a un singolo clic (o meno, nel caso di tab già aperte o redirect invisibili). La fonte indica esplicitamente che questa falla "can be chained with others for escape".

La combinazione delle due vulnerabilità costruisce uno scenario particolarmente efficiente per gli attaccanti: CVE-2026-78899 come primo stadio per ottenere controllo nel renderer, CVE-2026-79282 o un'altra falla come secondo stadio per uscire dalla sandbox. L'advisory non specifica se questa catena sia stata dimostrata o se esista codice di exploit pubblico.

Perché è importante

Il dossier non documenta misure correttive specifiche oltre all'aggiornamento alla versione 152.0.7977.64/.65. Non emergono nel brief indicazioni su workarounds temporanei, modifiche di flag sperimentali o disattivazioni di funzionalità che mitighino il rischio senza patch.

Il profilo di rischio delle due vulnerabilità principali — attivazione via pagina web, nessuna azione utente aggiuntiva richiesta, impatto fino a compromissione completa del sistema — colloca questo aggiornamento nella categoria dei rilasci che non tollerano rinvii. La fonte non specifica la natura dei dati eventualmente esposti in caso di exploit riuscito, né se le vulnerabilità siano state oggetto di attacchi documentati.

Il patching automatico di Chrome, attivo di default, fallisce quando l'utente non riavvia il browser. Il processo di update scarica il nuovo binario in background ma richiede chiusura e riapertura per attivazione. La sessione del browser — con tab, estensioni, autenticazioni persistenti — crea attrito contro il riavvio. Questo ritardo di attivazione espone a finestre di vulnerabilità misurabili in ore o giorni anche dove la patch è già presente sul disco.

L'automazione del patching e il gap di attivazione

Il meccanismo di update di Chrome è tecnicamente continuo ma praticamente discreto: la nuova versione sostituisce quella precedente solo al termine della sessione. Il brief non contiene dati sulla percentuale di installazioni che completano l'attivazione entro tempi definiti, né sui tempi mediani di adozione delle nuove versioni stable.

La combinazione di RCE fuori sandbox con la latenza di attivazione crea una superficie d'attacco strutturale: gli exploit che colpiscono versioni non aggiornate trovano bersaglio in una popolazione eterogenea di installazioni, dove la sola presenza della patch sul server non garantisce protezione effettiva. Il dossier non documenta se Google abbia implementato meccanismi di forzatura del riavvio per vulnerabilità di questa gravità.

Per le organizzazioni, questo si traduce in un problema di governance: la visibilità sulla versione effettivamente in esecuzione sugli endpoint, non quella installata, diventa il dato rilevante. Il brief non contiene strumenti o raccomandazioni per questa verifica.

Il valore offensivo delle vulnerabilità fuori sandbox

La fonte pone esplicitamente in relazione la gravità tecnica con l'utilità per gli attaccanti. Le vulnerabilità che abilitano RCE fuori dalla sandbox sono "particularly valuable to attackers" perché convertono il traffico web ordinario — la visita a un sito compromesso o malevolo — in esecuzione di codice privilegiata sul sistema ospite. Questo profilo abbassa i requisiti di accesso iniziale, elimina la necessità di ingegneria sociale mirata e si adatta a campagne di massa.

Il punteggio CVSS 9.6 di CVE-2026-79282 riflette questa configurazione: attacco remoto, complessità bassa, privilegi non richiesti, interazione utente minima (singolo clic o visita), scope changed (la compromissione supera il confine della sicurezza del componente vulnerabile), impatto massimo su riservatezza, integrità e disponibilità.

Il dossier non specifica se le vulnerabilità siano state divulgate in programmi bug bounty, né l'identità dei ricercatori che le hanno scoperte. Non emergono nel brief sovrapposizioni infrastrutturali che colleghino queste falle a operatori di minaccia noti, né indicazioni di exploit in-the-wild al momento della pubblicazione.

La mancanza di attribuzione o di evidenza di sfruttamento attivo non attenua la priorità del patching: il potenziale offensivo, documentato nelle specifiche tecniche, è sufficiente a classificare questa release come critica per la sicurezza operativa.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Fonti

• https://www.malwarebytes.com/blog/bugs/2026/08/update-chrome-before-you-browse-again
• https://www.cve.org/CVERecord?id=CVE-2026-79282

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti