Vulnerabilità · 2 giorni fa
Google ha confermato lo sfruttamento attivo di una falla in Chrome: è l’ottavo zero-day del browser sfruttato nel 2026, secondo SecurityWeek. La vulnerabilità riguarda l’elaborazione dei contenuti XML.
CSIRT Italia spiega che basta visitare una pagina preparata perché Chrome riutilizzi memoria già liberata. L’attaccante può così corrompere il processo e, in determinate circostanze, eseguire codice. Google corregge la falla con Chrome 157.0.8103.50/.51 per Windows e macOS e 157.0.8103.50 per Linux.
Google non ha descritto gli attacchi né attribuito la campagna. Le informazioni disponibili non chiariscono se l’exploit abbia superato la sandbox o quali organizzazioni siano state coinvolte: la patch chiude la falla nota, ma non definisce l’eventuale esposizione già avvenuta. L’ottava conferma in un anno rende lo sfruttamento di Chrome un rischio ricorrente per la flotta di endpoint.
Pubblicato da Chrome, 10 nov
Sfruttamento noto · CISA KEV
CVSS 8.8 HIGH: use after free in XML in Google Chrome prior to 157.0.8103.50 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.
Data di correzione federale CISA 24 nov
5 fonti che coprono questa storia
Chrome zero-day whack-a-mole continues as 2026 tally hits 8
Another Chrome memory bug gets squashed, but not before attackers got their hands on it
Google patches eighth Chrome zero-day exploited in attacks this year
Google has released emergency security updates to patch a new Chrome vulnerability exploited in zero-day attacks, the eighth such flaw since the start of the year.
Risolte vulnerabilità in Google Chrome
Tra queste si evidenzia la CVE-2026-125350 che risulta sfruttata attivamente in rete.
Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026
Google patches nine Chrome flaws, including actively exploited CVE-2026-125350, a high-severity use-after-free vulnerability in the XML component.
Chrome Update Patches Exploited XML Zero-Day, Eighth This Year
The high-severity use-after-free in Chrome’s XML component was reported anonymously on November 6 and is already exploited in attacks.
Part of the PlainSec briefing for 2026-11-11