Chrome e Firefox: 114 vulnerabilità patchate, Mozilla lancia Firefox Enterprise

Google e Mozilla hanno rilasciato aggiornamenti di sicurezza il 14 ottobre 2026 che complessivamente correggono 114 vulnerabilità: 37 in Chrome 155 e 77 in Firefox 158. Nello stesso arco temporale, Mozilla ha presentato Firefox Enterprise, un browser dedicato alle organizzazioni con requisiti di security, governance e compliance. La concomitanza dei due annunci — l'emergenza patch e il prodotto corporate — offre una lettura sulla tensione tra la fragilità della superficie di attacco browser e la competizione per il controllo dello stack tecnologico aziendale.

La conta dei flaw: memory safety dominante

Chrome 155 distribuito come versioni 155.0.8059.79/.80 per Windows e macOS, e 155.0.8059.79 per Linux — corregge 37 difetti di sicurezza. Sette sono classificati critici: un buffer overflow nel motore grafico ANGLE e sei use-after-free in Browser, PDF, Network, Core, SVG e Media. I restanti 29 bug high-severity rientrano nella stessa famiglia di errori di memory safety. La prevalenza degli use-after-free conferma un pattern consolidato nella superficie di attacco di Chromium, dove la gestione manuale della memoria continua a generare vulnerabilità exploitable per esecuzione di codice remota.

Firefox 158 presenta una profilo diverso per distribuzione ma simile per natura: 77 vulnerabilità di cui 30 high-severity. La gamma di tipologie è più ampia rispetto a Chrome — use-after-free, sandbox escape, privilege escalation, information disclosure, incorrect boundary, race condition, JIT miscompilation, integer overflow — indicando una superficie di attacco eterogenea che attraversa il rendering JavaScript, il modello di privilegi e i confini della sandbox. Quaranta difetti sono stati scoperti internamente da Mozilla, nove segnalati da Amy Burnett di OpenAI. La fonte non specifica CVSS esatti per le singole vulnerabilità né dettagli tecnici completi del meccanismo di sandbox escape.

Il ruolo dell'intelligenza artificiale nel bug hunting

Un dato segnaletico emerge dal campo delle ricompense: almeno 15 vulnerabilità Chrome sono state segnalate da Xinyang Ge, ricercatore presso Anthropic, con assistenza di Claude. Per queste segnalazioni Google non erogherà bug bounty. Google ha scoperto internamente 12 difetti e assegnato 1.000 dollari per un unico bug high-severity segnalato da ricercatore esterno; gli importi per gli altri report non sono stati divulgati al momento della pubblicazione.

La partecipazione di Anthropic e OpenAI alla scoperta di vulnerabilità in browser di mercato segnala una trasformazione nel bug hunting tradizionale. I large language model vengono qui impiegati come strumenti di analisi statica e fuzzing augmentato, non come attori autonomi. La scelta di Google di non riconoscere bounty per le segnalazioni AI-assisted — almeno in questo ciclo — solleva interrogativi sui criteri di eleggibilità che la fonte non chiarisce. Il dossier non specifica se Mozilla abbia adottato politiche analoghe per i report di Amy Burnett.

"Finally, Firefox Enterprise is built to live alongside the systems that IT operations already use. Keep your identity provider. Keep your SIEM. Keep your MDM. Just add a browser whose management infrastructure you operate, so you decide where data lives and have greater visibility into how it moves" — Mozilla, citato da SecurityWeek

Firefox Enterprise: la sovranità del browser come proposta di mercato

Il 13 ottobre 2026 Mozilla ha introdotto Firefox Enterprise, esplicitamente posizionato per organizzazioni con "strict security, governance, and compliance requirements". Il prodotto include una console di gestione deployable on-premise e utilizza il motore Gecko, non dipendente da stack Google o Apple. La proposta si distingue da Chrome Enterprise e Microsoft Edge per architettura di controllo dei dati: l'amministratore locale detiene la visibilità sul flusso informativo senza intermediazione cloud del vendor.

La tempistica — annuncio a meno di 24 ore dal rilascio delle patch di sicurezza — non implica una relazione causale tra i due eventi, ma li colloca in un contesto comune: la centralità del browser come superficie di attacco e come asset critico per la sovranità digitale aziendale. Per CISO e responsabili IT, Firefox Enterprise rappresenta un'alternativa on-premise che riduce la dipendenza dalla supply-chain Chromium/WebKit, con implicazioni per la gestione del vendor lock-in e per la conformità a requisiti di localizzazione dati. La fonte non specifica prezzi, modelli di licensing, disponibilità geografica o timeline di rollout del prodotto.

Perché è importante

Il dossier non documenta exploit in the wild per le vulnerabilità del 14 ottobre 2026, ma la natura dei flaw — use-after-free e buffer overflow con potenziale RCE — rende l'aggiornamento prioritario per ogni superficie esposta a contenuto web non trusted.

La fonte non specifica misure correttive alternative all'aggiornamento, né fornisce workaround per ambienti dove il patching immediato non è praticabile. Mozilla non dettaglia se Firefox Enterprise includa canali di aggiornamento differenziati rispetto al consumer. Google non ha reso noti i CVSS individuali per Chrome 155, limitando la prioritizzazione risk-based per difese in profondità.

Il brief non documenta se le vulnerabilità Firefox 158 siano state segnalate tramite programmi bug bounty con ricompense assegnate, né dettagli completi sulle tecniche di sandbox escape. Il contesto storico fornito da fonti su release precedenti — Chrome 150 con 433 CVE secondo advisory ufficiale, Firefox 152 — conferma un ritmo di patching intensivo ma non è direttamente rilevante per il topic del 14 ottobre.

La convergenza tra sicurezza tattica e strategia tecnologica

Il 14 ottobre 2026 presenta una dualità che raramente trova espressione simultanea: la fragilità operativa della superficie browser, documentata da 114 vulnerabilità con errori di memory safety prevalenti, e la competizione strategica per il controllo dello stack aziendale, incarnata da Firefox Enterprise. La prima richiede azione immediata, la seconda riconfigurazione architetturale a medio termine.

L'inserimento di operatori AI nella catena di scoperta vulnerabilità — Anthropic con Claude, OpenAI con Amy Burnett — aggiunge una variabile al threat intelligence landscape che le organizzazioni dovranno monitorare per calibrare le fonti di intelligence su cui basano le priorità di patching. La mancanza di bounty per le segnalazioni AI-assisted, almeno nel caso Google, suggerisce una frizione normativa ancora non risolta tra automatizzazione e riconoscimento del merito che i programmi di vulnerability disclosure dovranno affrontare.

Per le aziende, la lezione del giorno è duplice: la superficie di attacco browser resta inespugnabile nella sua vastità, e la diversificazione dello stack di rendering — non solo tra vendor ma tra motori diversi — può diventare una metrica di resilienza supply-chain quanto il patching stesso.

Fonti

• https://www.securityweek.com/chrome-firefox-updates-patch-114-flaws-as-mozilla-unveils-firefox-enterprise/
• https://radar.offseq.com/threat/chrome-firefox-updates-patch-114-flaws-as-mozilla-unveils-firefox-enterprise-7bae9d9e61e9622f
• https://www.itsecuritynews.info/chrome-firefox-updates-patch-114-flaws-as-mozilla-unveils-firefox-enterprise/
• https://radar.offseq.com/threat/chrome-firefox-updates-patch-over-100-vulnerabilities-2eaa63c1c6dbc366
• https://www.rescana.com/post/chrome-150-and-firefox-152-patch-critical-vulnerabilities-cve-analysis-and-enterprise-risk-advisory
• https://www.securityweek.com/chrome-firefox-updates-patch-over-100-vulnerabilities/
• https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_0175352312.html
• https://www.pcworld.com/article/3182088/chrome-150-fixes-nearly-400-security-flaws-including-15-critical-ones.html
• https://www.mozilla.org/en-US/security/advisories/mfsa2026-57/
• https://app.opencve.io/cve/?product=firefox&vendor=mozilla

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti