L’obiettivo è chiudere 382 vulnerabilità, emerse dopo controlli interni e segnalazioni tecniche che hanno riportato l’attenzione su un punto delicato: il rischio di attacchi capaci di uscire dalla sandbox del browser.
Il pacchetto, segnalato anche da Malwarebytes in un’analisi del ricercatore Pieter Arntz, arriva in settimane già fitte di patch pesanti. Poco prima, anche Microsoft aveva distribuito uno degli aggiornamenti più corposi del suo consueto Patch Tuesday.
Il canale stabile di Google Chrome passa alla versione 150.0.7871.46/.47 per Windows e macOS, alla 150.0.7871.46 per Linux e alla 150.0.7871.63 per Android. Come spesso accade con gli update di Chrome, il rilascio non arriverà a tutti nello stesso istante. Google parla di una distribuzione graduale, nei prossimi giorni e nelle prossime settimane, così da verificare eventuali problemi prima di completare la diffusione.
Le 15 falle critiche scoperte da Google: il rischio è uscire dalla sandbox
Il numero, però, è quello che colpisce: 382 interventi di sicurezza in un solo aggiornamento. Secondo Malwarebytes, 358 vulnerabilità sono state scoperte direttamente dai team di Google, anche grazie a strumenti interni di analisi del codice e al fuzzing, cioè test automatici che cercano di mandare in crisi un programma per far emergere punti deboli nascosti. Non è un aspetto da poco. Un browser oggi serve per lavorare, pagare, leggere la posta, entrare nei servizi pubblici. Una falla lasciata aperta può diventare una porta d’ingresso.
Tra i bug individuati, 15 vulnerabilità sono state classificate come critiche da Google. Nella scala usata dall’azienda, significa che potrebbero permettere a un aggressore di eseguire codice arbitrario fuori dalla sandbox, cioè oltre quello spazio protetto in cui il browser dovrebbe tenere isolate le attività pericolose. È il livello più alto nella valutazione di Mountain View.
La sandbox di Chrome può essere immaginata come una stanza chiusa: se una pagina web malevola provoca un comportamento anomalo, il danno dovrebbe restare lì dentro, confinato nel browser. Quando però una falla consente una evasione dalla sandbox, lo scenario cambia. Non si parla più soltanto di una scheda che si blocca o di dati esposti dentro Chrome. Il rischio può allargarsi al dispositivo. Per questo, sottolinea Malwarebytes, il fatto che molte falle siano state trovate internamente da Google conta parecchio: riduce la possibilità che, prima della patch, fossero già finite nelle mani di gruppi criminali o broker di exploit.
CVE-2026-13789, la falla “use after free” nella GPU che può esporre il dispositivo
Nel bollettino spicca una vulnerabilità indicata con severità “alta”: CVE-2026-13789. La descrizione tecnica parla di una falla “use after free” nella GPU di Google Chrome, presente nelle versioni precedenti alla 150.0.7871.47. In teoria, un aggressore remoto, dopo aver compromesso il processo di rendering, avrebbe potuto tentare una evasione dalla sandbox usando una pagina HTML appositamente modificata.
Detta in modo semplice, il problema riguarda la memoria. Una vulnerabilità use after free si verifica quando un programma continua a usare una porzione di memoria già liberata, senza cancellare correttamente il riferimento a quell’area. In alcune condizioni, chi attacca può provocare un crash o, nei casi più seri, far eseguire istruzioni non previste. La componente GPU di Chrome, qui, non riguarda soltanto la scheda grafica fisica: comprende anche il processo usato per il rendering accelerato, il compositing, WebGL, la decodifica video e altre operazioni grafiche.
Un attacco potrebbe passare da un sito web dannoso, da una email in formato HTML o da un documento incorporato costruito per sfruttare il bug. Da sola, una falla del genere non sempre basta a compromettere un computer. Ma se viene combinata con altre vulnerabilità, spiegano gli esperti, può diventare molto più pericolosa: prima si colpisce il browser, poi si prova a uscire dal suo recinto.
Aggiornare subito Chrome: cosa fare anche sui browser basati su Chromium
Gli utenti possono aspettare l’aggiornamento automatico di Chrome, ma Google e i ricercatori di sicurezza consigliano di non rimandare. Soprattutto se il browser resta aperto per giorni senza essere riavviato. Per controllare a mano basta aprire il menu con i tre puntini in alto a destra, entrare in Impostazioni e poi in Informazioni su Chrome. Se l’update è disponibile, Chrome lo scarica da solo. Per completare l’installazione, però, bisogna chiudere e riaprire il browser. È quel riavvio, spesso dimenticato, a rendere davvero attiva la protezione.
Il consiglio vale anche per chi usa browser basati su Chromium, il progetto open source su cui si appoggiano diversi prodotti concorrenti. In questi casi i tempi dipendono dai singoli sviluppatori, ma la linea resta la stessa: controllare se c’è un aggiornamento e installarlo appena compare. “Aggiornare il prima possibile”, ha scritto Malwarebytes nel suo avviso agli utenti. Una frase semplice, quasi di routine. Ma davanti a 382 vulnerabilità corrette, è il punto più concreto da cui partire.
