Patch day multi-vendor: exploit pubblico per Firefox, quattro…

Mozilla conferma exploit code pubblico per due falle Firefox. Google, Adobe e VMware rilasciano patch critiche il 15 luglio 2026. Nessuna exploitation attiva, ma

Il 15 luglio 2026 Mozilla ha rilasciato Firefox 152.0.6 con una conferma che suona come sveglia: l'exploit code per due vulnerabilità critiche è già pubblico. Nelle stesse ore Google ha distribuito Chrome 150.0.7871.125 per due use-after-free nel layer Ozone, Adobe ha patchato 88 vulnerabilità — 8 critiche in ColdFusion — e Broadcom ha emesso l'advisory VMSA-2026-0005 per VMware Avi Load Balancer. Nessuna exploitation attiva era stata confermata al momento della disclosure. La posta in gioco non è l'attacco in corso, ma la velocità con cui un proof-of-concept pubblico si trasforma in campagna di massa.

Punti chiave

Mozilla conferma che exploit code pubblico è disponibile per CVE-2026-15718 e CVE-2026-15719 in Firefox, sebbene non risulti exploitation attiva in the wild.
Google ha patchato due use-after-free in Ozone, il layer di astrazione display di Chrome, con CVE-2026-15764 e CVE-2026-15765 entrambe con CVSS 7.5 HIGH secondo NVD.
Adobe ha rilasciato l'advisory APSB26-82 con 8 vulnerabilità critiche in ColdFusion, inclusa CVE-2026-48318 con CVSS 9.9 per path traversal che porta a esecuzione arbitraria di codice.
Broadcom VMSA-2026-0005 corregge CVE-2026-47865 con CVSS 9.8, authentication bypass nel control plane di Avi Load Balancer, scoperta da Filip Waeytens per NATO NCSC.

Firefox: l'existe già, il trigger non ancora

Le due vulnerabilità Mozilla segnano una distinzione rara nel threat landscape contemporaneo: il codice di exploit circola, ma nessun attacco è stato rilevato. Mozilla Foundation Security Advisory MFSA 2026-67, citato da TechTimes e The Hacker News, recita testualmente: "We are aware that exploit code for this is public however we are not aware of any attacks in the wild abusing this flaw".

CVE-2026-15718 è un invalid pointer bug nel componente JavaScript/WebAssembly di Firefox. CVE-2026-15719 è una site isolation vulnerability nel componente DOM navigation. Entrambe portano a corruzione di memoria e bypass di sandbox, ma con CVSS rispettivamente 4.3 e 5.4 secondo i record ufficiali — punteggi che non riflettono la criticità reale data la disponibilità pubblica dell'exploit.

Il problema operativo è immediato: Firefox richiede restart manuale per applicare l'update. Gli utenti che tengono aperte schede e sessioni lasciano attiva una versione vulnerabile anche dopo il download del binario. La discrepanza tra distribuzione della patch e effettiva applicazione crea una finestra di rischio non misurabile dal solo dato di rilascio.

Chrome e il problema del rollout graduale

Google ha distribuito Chrome 150.0.7871.124 per Linux e .125 per Windows/Mac con 15 fix di sicurezza. Due riguardano Ozone, il cross-platform abstraction layer che gestisce la comunicazione con display server e windowing systems — X11, Wayland, DRM/KMS, ChromeOS, Fuchsia — e quindi siede al confine tra browser e sistema operativo.

Secondo i record NVD, CVE-2026-15764 e CVE-2026-15765 sono entrambe use-after-free con CVSS 7.5 HIGH. La descrizione NVD per CVE-2026-15764 specifica "on Linux", mentre per CVE-2026-15765 non ripete il qualificativo — un dettaglio che lascia incerta la superficie di attacco per Windows e Mac. Entrambe richiedono interazione UI specifica e pagina HTML crafted per causare heap corruption.

La distribuzione via Omaha updater avviene per frazioni di utenza. Chrome detiene quasi il 71% del mercato desktop browser secondo TechTimes: un rollout graduale su questa base installata significa decine di milioni di installazioni vulnerabili per giorni, anche senza exploitation attiva confermata. L'utente medio non forza l'update; spesso ignora che un update esista.

Enterprise sotto tiro: ColdFusion e Avi Load Balancer

Adobe Security Bulletin APSB26-82 documenta 8 vulnerabilità critiche in ColdFusion con CVSS che vanno da 9.0 a 9.9. CVE-2026-48318, la più severa con 9.9, è un path traversal che conduce a esecuzione arbitraria di codice. Le versioni corrette sono ColdFusion 2025 Update 11 e ColdFusion 2023 Update 22. Il priority rating è 1, il massimo in scala Adobe, e l'advisory conferma esplicitamente nessun exploit in the wild.

Il Broadcom advisory VMSA-2026-0005 è altrettanto netto. CVE-2026-47865 ha CVSS 9.8 e permette a un utente con network access di bypassare l'autenticazione nel control plane di Avi Load Balancer. La scoperta è accreditata a Filip Waeytens, NATO NCSC. L'advisory elenca 7 vulnerabilità totali — una critica e 6 important — e specifica esplicitamente: nessun workaround disponibile. La correzione richiede upgrade a versioni fixed.

La concentrazione di queste patch in un singolo ciclo di metà luglio stressa le capacità di patching delle organizzazioni. I team enterprise devono gestire contemporaneamente aggiornamenti browser per utenti distribuiti, piattaforme di sviluppo legacy come ColdFusion, e componenti infrastrutturali come load balancer virtualizzati.

"A malicious user with network access may be able to access the Avi Control plane by bypassing the authentication mechanism." — Broadcom VMSA-2026-0005, CVE-2026-47865

Cosa fare adesso

Gli utenti Firefox devono chiudere il browser e riavviare per attivare la versione 152.0.6. Il download automatico non basta. Gli utenti Chrome possono forzare l'update digitando chrome://settings/help e verificare la build 150.0.7871.124/.125 prima del completamento del rollout automatico.

Gli amministratori ColdFusion devono applicare l'update alla versione supportata — 2025 Update 11 o 2023 Update 22 — con priority rating 1 Adobe che indica deployment in produzione entro 72 ore. Per VMware Avi Load Balancer, VMSA-2026-0005 non offre workaround: l'upgrade a versione fixed è l'unica opzione documentata.

I team security devono monitorare le proprie telemetrie per anomalie sui componenti JavaScript/WebAssembly e DOM navigation di Firefox, e sui log di autenticazione di Avi Control Plane. La disponibilità pubblica di exploit per Firefox rende prioritaria la verifica della coverage dei controlli esistenti.

La finestra tra PoC e weaponizzazione

Il pattern del 15 luglio 2026 solleva una questione di timing. Quando exploit code è pubblico ma non attaccato, il rischio non è zero — è indeterminato. La storia dei threat landscape mostra che la weaponizzazione massiva segue spesso di ore o giorni la pubblicazione del PoC, non di settimane. Il comportamento dell'utente — il restart mancante, l'update non forzato — allunga artificialmente quella finestra.

La differenza tra Firefox e Chrome è illuminante: stessa criticità tecnica, finestra di esposizione diversa per meccanismo di distribuzione. Mozilla richiede azione utente esplicita; Google la dilaziona automaticamente. Entrambi gli approcci hanno difetti. La lezione è che la sicurezza del browser non si misura più solo nel tempo di patch del vendor, ma nel tempo di applicazione effettiva sul endpoint.

Per le infrastrutture enterprise, il CVSS 9.8-9.9 di ColdFusion e Avi Load Balancer indica severità intrinseca, non probabilità di attacco. Ma senza exploitation attiva confermata, i team di sicurezza devono bilanciare urgenza e risorse. Il rischio è che la mancanza di "attacco in corso" venga letta come "rischio lontano" — una lettura che l'esistenza di exploit pubblico per Firefox rende difficile da sostenere.

Domande frequenti

Perché Mozilla ha rilasciato un advisory con CVSS relativamente bassi se l'exploit è pubblico?
I punteggi CVSS 4.3 e 5.4 riflettono il vettore di attacco e l'impatto calcolato, non la disponibilità di exploit né il rischio reale. La criticità operativa supera il punteggio teorico quando il codice di exploit è già accessibile.

Chrome su Linux è più a rischio delle altre piattaforme per le CVE Ozone?
Il record NVD per CVE-2026-15764 specifica esplicitamente "on Linux", mentre CVE-2026-15765 non include il qualificativo. Questa discrepanza tra i due record lascia incerta la superficie di attacco per Windows e Mac.

Nessuna exploitation attiva significa che posso posticipare il patching?
No. L'assenza di exploitation attiva al momento della disclosure non garantisce che rimanga tale. L'esistenza di exploit pubblico per Firefox e la severità CVSS >9.0 per ColdFusion e Avi Load Balancer indicano priorità di intervento indipendentemente dallo stato di exploitation.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti