La scorsa settimana Google ha aggiornato Chrome per correggere dodici vulnerabilit�, e una di queste era gi� sfruttata in rete al momento del rilascio. Il difetto in questione � CVE-2026-85046, una type confusion nel motore JavaScript e WebAssembly V8, con punteggio CVSS 8.8. Per attivarlo � sufficiente una pagina HTML costruita ad arte: un attaccante remoto che riesca a farla visitare alla vittima ottiene l'esecuzione di codice arbitrario all'interno della sandbox del browser.
L'aggiornamento porta il browser alle versioni 152.0.7977.82 e .83 su Windows e macOS e alla 152.0.7977.82 su Linux, con una distribuzione progressiva che non raggiunge tutte le installazioni nello stesso momento. Nelle note di rilascio Google si limita a dichiarare di essere a conoscenza dell'esistenza in rete di un exploit per la falla, senza fornire dettagli tecnici n� indicazioni su chi la stia usando; il silenzio serve a dare tempo agli utenti e ai progetti che dipendono da Chromium di applicare la correzione. Lo stesso vale per i browser derivati, da Microsoft Edge a Brave, Opera e Vivaldi, che ereditano il difetto e ricevono la patch con qualche giorno di ritardo.
Il difetto nel motore V8
Il problema nasce da una gestione non adeguata dei tipi degli oggetti in memoria durante l'esecuzione di codice JavaScript: il software tratta un oggetto come se fosse di un tipo diverso da quello reale, e da l� diventa possibile corrompere la memoria. La segnalazione � arrivata a Google il 4 agosto dal ricercatore Salvatore Gulizia, noto online come Serotav. Nella descrizione che ne ha dato lui stesso si tratta di un bug di V8 nei compilatori che porta un array contenente PACKED_ELEMENTS a ricevere la map PACKED_SMI_ELEMENTS, condizione che pu� essere trasformata in lettura e scrittura arbitrarie sull'heap JavaScript.
