Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Google ha rilasciato Chrome 157 correggendo 213 vulnerabilità, tra cui sette critiche. Alcune falle nei componenti Dawn, ANGLE e Prerender possono consentire l'esecuzione di codice arbitrario e, in determinati casi, l'uscita dalla sandbox del browser. L'aggiornamento è disponibile per Windows, macOS, Linux e Android.
Una pagina web ordinaria potrebbe nuovamente diventare un modo per uscire dall’ambiente protetto del browser. Google il 3 novembre ha rilasciato Chrome 157 e ha risolto 213 problemi di sicurezza, tra cui sette critici. Alcuni errori permettono l’esecuzione di codice arbitrario al di fuori della “sandbox”, che separa il contenuto dei siti dal resto del sistema e limita le possibilità del codice dannoso.
Particolarmente pericolose sono le vulnerabilità nei componenti grafici Dawn e ANGLE. Il buffer overflow in Dawn ha ricevuto l’identificatore CVE-2026-121156, mentre il danno alla memoria in ANGLE è indicato come CVE-2026-121229. Entrambe le vulnerabilità sono valutate 9,6 punti secondo CVSS 3.1 e potrebbero permettere l’esecuzione di codice al di fuori della sandbox tramite una pagina appositamente preparata.
Un’altra problematica pericolosa è il CVE-2026-121035, che è stata rilevata nel meccanismo di prerendering delle pagine Prerender. L’errore di tipo use-after-free si verifica quando il programma accede a memoria già liberata. La vulnerabilità è valutata 9,6 punti secondo CVSS 3.1 e permette l’esecuzione di codice al di fuori dell’isolamento del browser durante l’elaborazione di una pagina HTML dannosa.
Non tutte e sette le vulnerabilità critiche hanno la stessa valutazione CVSS. Sei di esse hanno un punteggio di 9,6 punti secondo la versione 3.1. La settima, CVE-2026-121203 nel componente Geometry, ha ricevuto 8,8 punti CVSS 3.1, anche se Google la considera comunque critica. Un tale errore permette l’esecuzione di codice all’interno della sandbox, ma da solo non conferma l’uscita dai suoi limiti.
Oltre ai sette difetti critici, Google ha corretto 77 vulnerabilità di livello alto. I problemi riguardano l’elaborazione dei file PDF, il motore JavaScript V8, i sottosistemi grafici, le estensioni e la gestione dei permessi. Tra le cause si trovano errori di accesso a memoria liberata, confusione tra tipi di dati e verifiche insufficienti delle autorizzazioni, capaci di portare a violazioni dei limiti di protezione.
Xinyan Ge di Anthropic ha scoperto un errore critico Prerender utilizzando Claude. Nel bollettino figura anche Codex Security di OpenAI, con cui sono state identificate diverse problematiche ad alto rischio in PDFium, Media e V8. Google ha indicato l’uso di tali strumenti, ma non ha affermato che la ricerca sia stata condotta interamente senza intervento umano.
Il precedente grande aggiornamento Chrome 156 del 20 ottobre conteneva 353 correzioni, tra cui sei critiche. Il nuovo pacchetto è inferiore nel numero totale di errori, ma ha una vulnerabilità critica in più. Gli sviluppatori continuano a limitare l’accesso ai dettagli tecnici di alcune scoperte fino a quando la maggior parte degli utenti non avrà aggiornato alle versioni corrette del browser.
Chrome 157 è distribuito per Windows e macOS nelle build 157.0.8103.38 e 157.0.8103.39, mentre per Linux è prevista la versione 157.0.8103.38. Google ha anche confermato il rilascio della versione 157.0.8103.38 per Android con le relative correzioni. Il dispiegamento richiederà alcuni giorni o settimane. L’azienda non ha dichiarato casi di sfruttamento delle vulnerabilità elencate in attacchi reali.
RHC4Edu nasce dalla volontà della community di Red Hot Cyber di portare la cultura della cybersecurity, dell’intelligenza artificiale e del digitale direttamente nelle scuole, mettendo gratuitamente a disposizione degli studenti l’esperienza di professionisti, ricercatori e specialisti del settore. Il progetto è ufficialmente operativo e permette agli istituti interessati di richiedere workshop gratuiti e incontri con gli esperti della community, attraverso un coordinamento della redazione che mette in relazione le esigenze della scuola con le competenze e la disponibilità dei professionisti presenti sul territorio.
L’obiettivo di RHC4Edu non è trasformare gli studenti in tecnici informatici, ma aiutarli a sviluppare consapevolezza e pensiero critico davanti a un mondo sempre più digitale. Cybersecurity, truffe online, privacy, social network, cyberbullismo, fake news e intelligenza artificiale diventano così argomenti da affrontare con esempi concreti e con il contributo diretto di chi lavora quotidianamente nel settore. Un’iniziativa costruita sulla condivisione della conoscenza e sul volontariato della community, perché portare queste competenze nelle aule significa anche offrire ai ragazzi la possibilità di conoscere nuove professioni, sviluppare curiosità e imparare a vivere la tecnologia in modo più sicuro e consapevole.
Prenota il tuo workshop gratuito con gli esperti di Red Hot Cyber.