Basta visitare una pagina per attivare l’ottavo zero-day di Chrome
Google ha confermato lo sfruttamento attivo di una falla in Chrome: è l’ottavo zero-day del browser sfruttato nel 2026, secondo SecurityWeek. La vulnerabilità riguarda l’elaborazione dei contenuti XML.
CSIRT Italia spiega che basta visitare una pagina preparata perché Chrome riutilizzi memoria già liberata. L’attaccante può così corrompere il processo e, in determinate circostanze, eseguire codice. Google corregge la falla con Chrome 157.0.8103.50/.51 per Windows e macOS e 157.0.8103.50 per Linux.
Google non ha descritto gli attacchi né attribuito la campagna. Le informazioni disponibili non chiariscono se l’exploit abbia superato la sandbox o quali organizzazioni siano state coinvolte: la patch chiude la falla nota, ma non definisce l’eventuale esposizione già avvenuta. L’ottava conferma in un anno rende lo sfruttamento di Chrome un rischio ricorrente per la flotta di endpoint.
CVSS 8.8 HIGH: use after free in XML in Google Chrome prior to 157.0.8103.50 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.
Google patches eighth Chrome zero-day exploited in attacks this year
Google has released emergency security updates to patch a new Chrome vulnerability exploited in zero-day attacks, the eighth such flaw since the start of the year.