Google ha chiuso 353 vulnerabilità in Chrome in un colpo solo e ha smesso di fidarsi dei siti HTTP

Google ha chiuso 353 vulnerabilità in Chrome 156, incluse sei critiche come CVE-2026-113303 e CVE-2026-113279, secondo un annuncio del 21 ottobre. Il browser ora avverte gli utenti prima di connettersi a siti HTTP non sicuri.

Google ha rilasciato Chrome 156 con uno dei più grandi pacchetti di correzioni di sicurezza mai rilasciate e contemporaneamente ha modificato le regole per la visita ai siti non protetti. La nuova versione del browser chiude immediatamente 353 vulnerabilità, incluse sei critiche. Parallelamente, Chrome ha iniziato ad avvisare gli utenti prima di connettersi ai siti tramite il protocollo HTTP, che consente di intercettare e sostituire i dati trasmessi.

L’aggiornamento del 20 ottobre ha eliminato gli errori in decine di componenti del browser. La versione 156.0.8078.47 è destinata a Linux, mentre le build 156.0.8078.47 e 156.0.8078.48 sono distribuite per Windows e macOS. Google rilascia le correzioni gradualmente nel corso di diversi giorni e settimane. La portata dell’aggiornamento ha superato il pacchetto di settembre, che ha chiuso 108 vulnerabilità.

Tra i problemi critici spicca il CVE-2026-113303 nel componente WebRTC, responsabile della trasmissione di audio e video in tempo reale. Il danno alla memoria consente a un malintenzionato di eseguire potenzialmente codice arbitrario all’interno dell’ambiente isolato del browser tramite una pagina HTML appositamente preparata. Google ha attribuito all’errore un livello di pericolo critico e la valutazione CVSS 3.1 è di 8,8 punti.

Un’altra vulnerabilità critica, il CVE-2026-113279, riguarda il sottosistema Accessibility, che garantisce l’accessibilità dell’interfaccia. L’errore consente anche l’esecuzione di codice all’interno della sandbox durante la visita a una pagina dannosa. La valutazione CVSS 3.1 è di 8,8 punti. Altri difetti critici riguardano Skia, CSS, Paint e Accessibility. Google non ha fornito casi confermati di sfruttamento dei problemi elencati.

Una modifica separata riguarda la protezione delle connessioni di rete. Il team di Chrome il 21 ottobre ha annunciato l’attivazione degli avvisi prima delle connessioni HTTP non sicure per tutti gli utenti in modo predefinito. In precedenza, il browser indicava principalmente tali pagine come non protette solo dopo l’apertura. Ora Chrome richiede il permesso prima di stabilire la connessione, consentendo di rifiutare la trasmissione di dati senza crittografia.

L’avviso appare al primo accesso a un sito HTTP. Dopo l’autorizzazione, il browser non ripete la richiesta finché l’utente continua ad aprire regolarmente la risorsa. Se il sito non è stato visitato per almeno due settimane, l’avviso potrebbe riapparire. Per gli indirizzi IP locali e i nomi interni come intranet sono previste eccezioni. Tali risorse spesso non supportano certificati HTTPS pubblici e vengono utilizzate per accedere ai router.

Google spera che i nuovi avvisi non diventino un fastidio costante. I primi risultati dell’implementazione hanno mostrato che quasi il 95% degli utenti di Chrome desktop in una settimana non incontra affatto avvisi HTTP, mentre meno dell’1% ne vede tre o più. Il passaggio alla conferma obbligatoria è stato possibile grazie alla diffusa adozione di HTTPS. Al tempo stesso, il browser non blocca definitivamente HTTP, lasciando la possibilità di continuare la connessione manualmente.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response