Google ha corretto in fretta una falla critica nel motore JavaScript V8 di Chrome, già sfruttata da attaccanti reali prima ancora che la patch fosse pronta. La vulnerabilità, catalogata come CVE-2026-85046, ha ricevuto un punteggio CVSS di 8,8 ed è il sesto zero-day che colpisce il browser di Mountain View dall’inizio del 2026. Per l’Italia, dove Chrome supera il 70% di quota di mercato, la notizia non è un dettaglio tecnico per addetti ai lavori: riguarda milioni di postazioni di lavoro, PMI e pubbliche amministrazioni che aprono pagine web ogni giorno senza sapere quale versione del browser hanno installato.
Cos’è CVE-2026-85046 e perché preoccupa gli esperti
CVE-2026-85046 è un bug di tipo type confusion all’interno di V8, il motore che Chrome usa per eseguire JavaScript e WebAssembly. In pratica, il codice tratta un dato come se appartenesse a un tipo diverso da quello reale, aprendo la strada a letture e scritture non autorizzate nella memoria heap del browser. Un attaccante può sfruttare questo comportamento per eseguire codice arbitrario all’interno della sandbox di Chrome, semplicemente convincendo la vittima a visitare una pagina HTML costruita ad hoc. Non serve scaricare un file né cliccare su un allegato: basta un link.
Google ha classificato la gravità del bug come alta nei suoi tracker interni e ha confermato che la falla era già attivamente sfruttata al momento della pubblicazione della patch, il 3 settembre 2026. Questo dettaglio cambia la natura dell’allarme: non si tratta di una vulnerabilità teorica scoperta in laboratorio, ma di un’arma già in uso da qualche gruppo di attaccanti quando Google ha iniziato a distribuire la correzione sul canale Stable.
Cronologia della scoperta: da Salvatore Gulizia al bug bounty
La falla è stata segnalata a Google il 4 agosto 2026 dal ricercatore esterno Salvatore Gulizia, noto nella community con lo pseudonimo Serotav. Per la scoperta, Gulizia ha ricevuto un compenso di 1.000 dollari attraverso il Vulnerability Rewards Program di Google, la cifra standard riservata a bug di gravità alta ma non ancora accompagnati da un report di exploitation completo al momento della segnalazione.
Tra la segnalazione iniziale e il rilascio della patch sono trascorse circa quattro settimane, un tempo di risposta nella media per Google quando il bug non è ancora sfruttato su larga scala al momento del report. Il quadro è cambiato quando i team di sicurezza di Google hanno individuato prove di exploitation attiva nelle settimane successive alla segnalazione, spingendo l’azienda ad accelerare il rilascio della correzione invece di aspettare il normale ciclo di aggiornamento mensile.
Le versioni di Chrome coinvolte e come verificare l’aggiornamento
Tutte le versioni di Chrome precedenti alla 152.0.7977.82 risultano vulnerabili. Google ha pubblicato i dettagli nel proprio blog ufficiale delle release di Chrome, indicando le versioni corrette in modo differenziato per piattaforma: 152.0.7977.82 e 152.0.7977.83 per Windows e macOS, 152.0.7977.82 per Linux e per Android. Chi usa Chrome su desktop può controllare la propria versione andando nel menu con i tre puntini, poi Guida e infine Informazioni su Google Chrome: se il numero è inferiore a quello indicato, l’aggiornamento parte in automatico e richiede solo il riavvio del browser per essere applicato.
Il punto delicato riguarda i browser basati su Chromium diversi da Chrome. Microsoft Edge, Brave, Opera e Vivaldi condividono lo stesso motore V8 e quindi ereditano potenzialmente la stessa esposizione, anche se ciascun vendor rilascia la propria patch con tempistiche indipendenti. Le aziende italiane che hanno standardizzato su Edge per motivi di compatibilità con Microsoft 365 devono verificare separatamente il changelog di Edge invece di fidarsi solo dell’aggiornamento di Chrome.
CISA inserisce la falla nel catalogo KEV il giorno dopo la patch
La rapidità della risposta istituzionale conferma la serietà del problema. La Cybersecurity and Infrastructure Security Agency statunitense ha aggiunto CVE-2026-85046 al proprio catalogo delle vulnerabilità note e sfruttate, il KEV, il 4 settembre 2026, appena un giorno dopo la pubblicazione della patch da parte di Google. L’inserimento nel catalogo CISA KEV obbliga le agenzie federali americane ad applicare la correzione entro scadenze vincolanti, ma il segnale ha un peso che va oltre i confini USA: quando CISA marca una falla come attivamente sfruttata, i team di sicurezza europei la trattano come priorità operativa indipendentemente dalla giurisdizione.
In Italia non risulta, al momento della pubblicazione di questo articolo, un bollettino specifico dell’Agenzia per la Cybersicurezza Nazionale dedicato a CVE-2026-85046, mentre CERT regionali come quello del Piemonte hanno già diffuso indicazioni operative per lo zero-day di giugno che colpiva lo stesso componente V8. È ragionevole aspettarsi che ACN segua lo stesso schema visto per le vulnerabilità Chrome precedenti nel corso del 2026, con una nota tecnica indirizzata alla pubblica amministrazione nei prossimi giorni.
Il sesto zero-day dell’anno: la lista completa del 2026
CVE-2026-85046 non è un episodio isolato. Secondo la ricostruzione pubblicata da The Hacker News, è il sesto bug di Chrome che Google conferma essere stato sfruttato attivamente nel mondo reale da gennaio 2026, un ritmo di circa un episodio ogni sei-sette settimane. La tabella seguente riepiloga la sequenza completa così come ricostruita da Google e dai principali tracker di sicurezza.
| CVE | Componente | Mese patch (2026) | Versione Chrome corretta |
|---|---|---|---|
| CVE-2026-2441 | CSS (use-after-free) | Febbraio | 145.0.7632.75/76 |
| CVE-2026-3909 | Skia (out-of-bounds write) | Marzo | 146.0.7680.75/76 |
| CVE-2026-3910 | V8 | Marzo | 146.0.7680.75/76 |
| CVE-2026-5281 | Dawn / WebGPU (use-after-free) | Aprile | 146.0.7680.177/178 |
| CVE-2026-11645 | V8 (out-of-bounds) | Giugno | 149.0.7827.102/103 |
| CVE-2026-85046 | V8 (type confusion) | Settembre | 152.0.7977.82/83 |
Tre dei sei zero-day dell’anno riguardano proprio il motore V8, un dato che conferma un pattern preciso più che una serie di incidenti scollegati. A titolo di paragone, il mese scorso Microsoft ha corretto 398 CVE nel Patch Tuesday di agosto, ma nessuna di quelle falle era uno zero-day già sfruttato al momento della pubblicazione: la differenza tra vulnerabilità corretta prima che venga usata e vulnerabilità corretta mentre viene già usata è ciò che rende i bug di Chrome nel 2026 una categoria a parte.
Perché il motore V8 è diventato il bersaglio preferito
V8 è uno dei software più complessi mai scritti per l’esecuzione di codice generico in un contesto non fidato: deve compilare ed eseguire JavaScript arbitrario proveniente da qualunque sito web, in millisecondi, mantenendo al tempo stesso l’isolamento della sandbox. Questa combinazione di velocità e apertura crea una superficie di attacco enorme, e i ricercatori di sicurezza offensiva la considerano da anni uno dei bersagli più remunerativi in assoluto, sia per i bug bounty legittimi sia per il mercato nero degli exploit.
I bug di tipo type confusion, come quello di CVE-2026-85046, colpiscono in particolare le ottimizzazioni JIT (Just-In-Time compilation) che V8 applica al codice più eseguito, la parte del motore che sacrifica un po’ di rigidità sui controlli di tipo in cambio di prestazioni superiori. È lo stesso compromesso tra velocità e sicurezza che ha già prodotto CVE-2026-3910 a marzo e CVE-2026-11645 a giugno, entrambi bug V8 sfruttati attivamente prima della patch.
Chrome in Italia: una quota di mercato che amplifica il rischio
In Italia il problema assume una scala particolare. Secondo i dati Statcounter di luglio 2026, Chrome detiene il 70,47% del mercato browser italiano su tutte le piattaforme, una concentrazione ben superiore alla media europea. Significa che sette utenti italiani su dieci, incluse molte postazioni aziendali e uffici pubblici, dipendono dallo stesso motore V8 colpito dalla falla.
| Browser | Quota di mercato in Italia (luglio 2026) |
|---|---|
| Google Chrome | 70,47% |
| Safari | 13,60% |
| Firefox | 5,64% |
| Microsoft Edge | 5,25% |
| Samsung Internet | 2,26% |
| Opera | 1,45% |
Fonte: Statcounter GlobalStats, quota browser Italia, luglio 2026. A livello europeo la concentrazione è leggermente meno estrema: Statcounter registrava Chrome al 59,36% nel continente a febbraio 2026, mentre a livello globale su tutti i dispositivi la quota si attesta intorno al 65,1%. La differenza tra il dato italiano e quello europeo racconta una dipendenza tecnologica particolarmente marcata nel nostro paese, che rende la finestra tra la scoperta di uno zero-day Chrome e l’applicazione della patch su scala nazionale un momento di esposizione reale, non solo teorico.
Confronto competitivo: Chrome, Firefox, Safari ed Edge di fronte agli zero-day
Mettere a confronto i browser sul fronte sicurezza è più complesso di quanto sembri, perché non tutti i vendor pubblicano gli stessi dettagli sugli zero-day sfruttati attivamente. Chrome è oggi il browser più trasparente su questo fronte: Google etichetta esplicitamente ogni CVE come sfruttata in the wild quando ne ha evidenza, ed è per questo che possiamo contare con precisione sei zero-day Chrome nel 2026. Apple e Mozilla comunicano gli aggiornamenti di sicurezza con dettagli tecnici più limitati, il che rende difficile un confronto numerico diretto e onesto sul numero di zero-day equivalenti per Safari e Firefox nello stesso periodo.
Quello che si può dire con certezza è strutturale: Chrome è il browser con la base installata più ampia al mondo, e questo lo rende automaticamente il bersaglio con il miglior ritorno sull’investimento per chi sviluppa exploit, indipendentemente dalla qualità relativa del codice rispetto ai concorrenti. Chi cerca un’alternativa con un profilo di raccolta dati diverso, senza necessariamente cambiare motore di rendering, può guardare al confronto diretto tra Brave, Chrome e Firefox, utile per capire quali impostazioni di privacy e sicurezza cambiano davvero passando da un browser Chromium a un altro.
Contesto storico: l’andamento degli zero-day nei browser dal 2023
Guardare al trend pluriennale aiuta a capire se il 2026 sia un’anomalia o una conferma. Secondo l’analisi compilata dal Google Threat Intelligence Group, il numero totale di zero-day sfruttati attivamente su tutti i tipi di software, non solo browser, è stato di 100 nel 2023, sceso a 78 nel 2024 e risalito a 90 nel 2025. Per il segmento specifico dei browser, un’analisi indipendente di settore ha rilevato invece un calo costante: 17 zero-day complessivi nel 2023, 11 nel 2024 e appena 8 nel 2025, il valore più basso mai registrato per questa categoria.
Chrome, da solo, aveva mantenuto negli anni recenti una media di circa otto zero-day sfruttati all’anno. Con sei episodi già confermati a inizio settembre 2026, il browser di Google è sostanzialmente in linea con quella media storica, ma con quattro mesi ancora davanti prima della fine dell’anno il 2026 rischia di chiudersi come uno dei periodi peggiori dal 2023, invertendo il trend calante osservato nel 2024 e nel 2025 per l’intero settore dei browser.
L’impatto economico: il mercato del patch management e della sicurezza browser
Ogni zero-day sfruttato attivamente alimenta un mercato che cresce proprio grazie a questa incertezza strutturale. Le stime sul mercato globale del patch management per il 2026 variano a seconda della metodologia usata dai diversi istituti di ricerca, con valori che vanno da circa 0,98 miliardi di dollari fino a 3 miliardi di dollari a seconda di cosa viene incluso nel perimetro, solo software oppure software più servizi. Il segmento specifico della sicurezza dei browser aziendali, secondo una stima di settore, vale circa 4,3 miliardi di dollari nel 2026, con proiezioni di crescita a doppia cifra nei prossimi anni.
Questi numeri spiegano perché diversi fornitori di enterprise browser abbiano trovato terreno fertile proprio nel 2026: ogni nuovo zero-day Chrome è un argomento di vendita per soluzioni che isolano la sessione di navigazione dal resto del sistema operativo, riducendo l’impatto di un singolo bug nel motore di rendering. Anche i vendor di scanner di vulnerabilità e gli strumenti che monitorano il catalogo delle CVE critiche del 2026 registrano un aumento della domanda ogni volta che una falla di questo profilo finisce sulle prime pagine della stampa tecnica.
Aziende italiane ed europee nel mirino: cosa cambia davvero
Per un responsabile della sicurezza italiano, la domanda pratica non è se aggiornare Chrome, ma quanto tempo impiega l’organizzazione a farlo su tutta la flotta di dispositivi. Nelle aziende che gestiscono gli aggiornamenti tramite policy centralizzate, come Google Admin Console o Microsoft Intune per la variante Edge, la distribuzione della patch può completarsi in poche ore. Nelle realtà più piccole, dove l’aggiornamento dipende dall’iniziativa del singolo dipendente, la finestra di esposizione si misura in giorni o settimane, un tempo più che sufficiente perché un attaccante opportunista sfrutti la falla su una macchina non aggiornata.
Il precedente più recente e istruttivo arriva da un altro fronte dello stesso mese: pochi giorni prima della patch Chrome, Cisco aveva dovuto correggere una falla critica nelle sue VPN SSL, la CVE-2026-20349, anch’essa già sotto attacco attivo al momento della divulgazione. La coincidenza temporale tra i due episodi mostra come settembre 2026 sia diventato un mese ad alta densità di zero-day su prodotti che quasi ogni azienda usa quotidianamente, dal browser alla VPN.
Cosa devono fare IT manager e utenti finali adesso
La prima azione, banale ma spesso trascurata, è verificare che l’aggiornamento automatico di Chrome non sia bloccato da policy aziendali obsolete o da restrizioni di rete che impediscono il download del pacchetto di aggiornamento. In molte organizzazioni con proxy aziendali rigidi, Chrome scarica la patch ma non riesce a installarla senza un riavvio forzato del processo, e gli utenti continuano a navigare per settimane su una versione vulnerabile senza accorgersene.
La seconda azione riguarda l’inventario. Molti reparti IT sanno quante licenze Microsoft Office hanno in azienda, ma non sanno con precisione quante versioni diverse di Chrome, Edge, Brave o Opera girano sui laptop aziendali. Uno script di inventario che interroga la versione del browser installato su ogni endpoint, incrociato con il numero di build corretto, 152.0.7977.82 o superiore, resta l’unico modo per sapere davvero quante macchine restano esposte oltre le prime 48 ore dal rilascio della patch.
Previsioni: cosa aspettarsi nei prossimi mesi
Sulla base del ritmo osservato nel 2026 e delle dinamiche del settore, ecco cinque scenari plausibili per i prossimi mesi.
- Google pubblicherà probabilmente almeno un altro zero-day patch prima della fine del 2026: al ritmo di un episodio ogni sei-sette settimane, un settimo bug sfruttato attivamente entro dicembre è lo scenario più probabile, non l’eccezione.
- È probabile che ACN o CERT-AGID emettano una nota tecnica dedicata rivolta alla pubblica amministrazione italiana, seguendo lo schema già visto per lo zero-day Chrome di giugno gestito dai CERT regionali.
- La domanda di soluzioni enterprise browser e di strumenti di isolamento della navigazione crescerà tra le aziende italiane di fascia media, che finora hanno considerato queste tecnologie un lusso riservato alle grandi banche o alle utility critiche.
- Microsoft, Brave e Opera rilasceranno le rispettive patch per la componente Chromium condivisa nell’arco di pochi giorni dalla correzione di Google, ma la finestra di ritardo tra i vari vendor resterà un punto debole per chi non usa Chrome puro.
- Il numero totale di zero-day Chrome per l’intero 2026 potrebbe superare la media storica di otto episodi annui, invertendo il calo registrato nel 2024 e nel 2025 per l’intero comparto browser.
Nessuna di queste previsioni è una certezza. Sono proiezioni basate sul comportamento osservato nei mesi precedenti, sull’esperienza dei CERT nazionali con incidenti simili e sulla velocità con cui il settore della sicurezza browser sta assorbendo capitale e attenzione nel 2026.
Domande frequenti su CVE-2026-85046
Cos’è esattamente CVE-2026-85046?
È una vulnerabilità di tipo type confusion nel motore V8 di Google Chrome, con punteggio CVSS 8,8, che permette l’esecuzione di codice arbitrario nella sandbox del browser tramite una pagina HTML malevola. Google l’ha corretta con la versione 152.0.7977.82/.83, rilasciata il 3 settembre 2026.
Come faccio a sapere se il mio Chrome è aggiornato?
Apri il menu con i tre puntini in alto a destra, vai su Guida e poi su Informazioni su Google Chrome. Se la versione mostrata è inferiore a 152.0.7977.82, il browser si aggiornerà automaticamente: basta chiuderlo e riaprirlo per applicare la patch.
Basta evitare siti sospetti per essere al sicuro?
No. Gli exploit basati su type confusion in V8 possono essere distribuiti anche tramite pubblicità malevola o siti legittimi compromessi, non solo attraverso pagine ovviamente fraudolente. L’unica protezione affidabile è tenere il browser aggiornato all’ultima versione disponibile.
Anche i browser basati su Chromium come Edge, Brave e Opera sono a rischio?
Potenzialmente sì, perché condividono lo stesso motore V8. Ogni vendor però rilascia la propria patch con tempistiche indipendenti, quindi occorre controllare separatamente il numero di versione di ciascun browser Chromium installato in azienda, senza dare per scontato che l’aggiornamento di Chrome copra automaticamente anche Edge o Brave.
Perché CISA ha inserito questa CVE nel catalogo KEV così rapidamente?
Il catalogo KEV di CISA raccoglie solo vulnerabilità per cui esiste evidenza concreta di sfruttamento attivo nel mondo reale, non semplici bug teorici. L’inserimento a un giorno dalla patch riflette la velocità con cui Google e i partner di threat intelligence hanno confermato l’exploitation prima ancora della divulgazione pubblica della falla.
Quanti zero-day ha avuto Chrome nel 2026 prima di questo?
Cinque, a partire da CVE-2026-2441 a febbraio fino a CVE-2026-11645 a giugno. CVE-2026-85046 è il sesto della serie, e tre dei sei bug del 2026 hanno colpito proprio il motore V8.
Cosa dovrebbero fare le PMI italiane senza un reparto IT dedicato?
Attivare l’aggiornamento automatico di Chrome, attivo di default nella maggior parte delle installazioni, e ricordare ai dipendenti di riavviare il browser almeno una volta al giorno, invece di lasciarlo aperto per settimane con decine di schede. Il riavvio è il passaggio che applica effettivamente la patch scaricata in background.
