Vulnerabilità ed exploit

Chrome chiude 247 falle, quattro sono critiche

Google ha rilasciato Chrome 155 per correggere 247 vulnerabilità, tra cui quattro use-after-free critiche tracciate come CVE-2026-106382, CVE-2026-106197, CVE-2026-106358 e CVE-2026-106347. Le correzioni stanno arrivando nelle versioni 155.0.8059.39/.40 per Windows e macOS, e 155.0.8059.39 per Linux.

Le quattro falle riguardano componenti del browser e possono permettere l’esecuzione di codice partendo da una pagina costruita ad arte, senza bisogno di privilegi locali. Google non segnala sfruttamento in the wild. Nello stesso giro, alcuni bug sono stati trovati con AI e l’azienda ha indicato che non riconoscerà tutti i bounty, segno di un ciclo di ricerca che sta già cambiando i criteri di merito.

Per chi gestisce Chrome su Windows, macOS e Linux, la notizia resta un patch cycle ampio ma lineare: il rischio reale è l’esposizione di chi visita contenuti ostili prima dell’aggiornamento. La dinamica della ricerca automatizzata, invece, pesa sul futuro degli incentivi ai ricercatori più della superficie d’attacco di oggi.

2 fonti · 9 ore fa

CVE-2026-106382

NVD KEV

CVSS 9.6 CRITICAL: use after free in Chromecast in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page.

CVE-2026-106197

NVD KEV

CVSS 9.6 CRITICAL: use after free in Browser in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page.

CVE-2026-106358

NVD KEV

CVSS 9.6 CRITICAL: use after free in Navigation in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page.

CVE-2026-106347

NVD KEV

CVSS 8.8 HIGH: use after free in Track in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.

Cronologia

7 ott Segnalato da SecurityWeek
6 ott Segnalato da CVE Program records

Fonti

7 ott SecurityWeek
Chrome 155 Update Patches 247 Vulnerabilities
Four critical-severity use-after-free defects were fixed in Chromecast, Browser, Navigation, and Track.
originale
6 ott CVE Program records
CVE-2026-106269: Google Chrome
Use after free in CSS in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.
originale
6 ott CVE Program records
CVE-2026-106234: Google Chrome
Use after free in Network in Google Chrome prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted Chrome extension.
originale

Part of the PlainSec briefing for 2026-10-07

Every edition of this story: Chrome chiude 247 falle, quattro sono critiche

Altro da oggi

Vulnerabilità ed exploitChrome chiude 247 falle, quattro sono criticheGoogle ha rilasciato Chrome 155 per correggere 247 vulnerabilità, tra cui quattro use-after-free critiche tracciate come CVE-2026-106382, CVE-2026-106197, CVE-2026-106358 e CVE-2026-106347. Le correzioni stanno arrivando nelle versioni 155.0.8059.39/.40 per Windows e macOS, e 155.0.8059.39 per Linux.Le quattro falle riguardano componenti del browser e possono permettere l’esecuzione di codice partendo da una pagina costruita ad arte, senza bisogno di privilegi locali. Google non segnala sfruttamento in the wild. Nello stesso giro, alcuni bug sono stati trovati con AI e l’azienda ha indicato che non riconoscerà tutti i bounty, segno di un ciclo di ricerca che sta già cambiando i criteri di merito.Per chi gestisce Chrome su Windows, macOS e Linux, la notizia resta un patch cycle ampio ma lineare: il rischio reale è l’esposizione di chi visita contenuti ostili prima dell’aggiornamento. La dinamica della ricerca automatizzata, invece, pesa sul futuro degli incentivi ai ricercatori più della superficie d’attacco di oggi.2 fonti · 9 ore fa

CVE-2026-106382

NVD KEV

CVSS 9.6 CRITICAL: use after free in Chromecast in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page.

CVE-2026-106197

NVD KEV

CVSS 9.6 CRITICAL: use after free in Browser in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page.

CVE-2026-106358

NVD KEV

CVSS 9.6 CRITICAL: use after free in Navigation in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page.

CVE-2026-106347

NVD KEV

CVSS 8.8 HIGH: use after free in Track in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.

Cronologia

7 ott Segnalato da SecurityWeek

6 ott Segnalato da CVE Program records

Fonti

7 ott SecurityWeek

Chrome 155 Update Patches 247 Vulnerabilities

Four critical-severity use-after-free defects were fixed in Chromecast, Browser, Navigation, and Track.

originale

6 ott CVE Program records

CVE-2026-106269: Google Chrome

Use after free in CSS in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.

originale

6 ott CVE Program records

CVE-2026-106234: Google Chrome

Use after free in Network in Google Chrome prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted Chrome extension.

originale

Part of the PlainSec briefing for 2026-10-07Every edition of this story: Chrome chiude 247 falle, quattro sono criticheAltro da oggi

HFS trasforma un cookie bug in esecuzione remota

Un patch mancata apre il varco al breach FBI

ClingSTUN si allarga e nasconde il C2 nel traffico STUN