L'ottavo zero-day di Chrome dell'anno è nella parte che legge l'XML, e la correzione richiede un riavvio

Lunedì 9 novembre Google ha distribuito un aggiornamento di Chrome con nove correzioni di sicurezza. Una conta più delle altre. CVE-2026-125350 è un bug di memoria nella parte di Chrome che gestisce l'XML, un semplice formato di dati che i siti usano dietro le quinte, e l'avviso di Google contiene la frase che nessuno ama leggere: «Google è a conoscenza dell'esistenza di un exploit per CVE-2026-125350 in circolazione.»

Sono così otto gli zero-day di Chrome sfruttati nel 2026 secondo il conteggio di BleepingComputer, quanti in tutto il 2025, e mancano ancora sette settimane. Due degli altri sono stati corretti a settembre. Secondo CyberInsider, un ricercatore anonimo ha segnalato questo il 6 novembre, quindi Google ha consegnato la correzione in tre giorni. Come sempre l'azienda non dice chi stia sfruttando il bug né contro chi, e i dettagli tecnici restano riservati finché la maggior parte degli utenti non avrà aggiornato. Se ne conosce il tipo: uno use-after-free, in cui il browser continua a usare una porzione di memoria che ha già restituito, e una pagina web costruita ad arte può approfittarne per eseguire il proprio codice.

La versione corretta è la 157.0.8103.50 o .51 su Windows e Mac, e la 157.0.8103.50 su Linux. Chrome la scarica in silenzio, ma c'è un inghippo: un aggiornamento scaricato non protegge nulla finché il vecchio browser resta in esecuzione. Se tenete quaranta schede aperte per settimane, aprite il menu con i tre puntini, scegliete Guida, poi Informazioni su Google Chrome, aspettate la fine del controllo e fate clic su Riavvia. Le schede tornano. Edge, Brave, Opera e Vivaldi si basano sullo stesso codice Chromium: aspettatevi che arrivino anche i loro aggiornamenti, e installateli quando vengono proposti.

Il controllo degli aggiornamenti delle app di Tendvane, che usa winget, vi dice se Chrome o un altro browser sul vostro PC è rimasto a una versione precedente.