Google corregge diversi bug di Chrome, inclusa una vulnerabilità di V8 utilizzata negli attacchi.

      Google ha corretto 12 vulnerabilità di Chrome il 3 settembre, tra cui CVE-2026-85046, un bug di confusione di tipo in V8 già sfruttato, il sesto di questo tipo quest'anno. Otto giorni dopo, il Cyber Resilience Act inizia a richiedere ai produttori di segnalare le vulnerabilità attivamente sfruttate entro 24 ore dalla presa di coscienza.

      Google ha corretto 12 vulnerabilità in Chrome il 3 settembre, la maggior parte delle quali di alta gravità. Una era già utilizzata in attacchi, ha riportato TechRadar.

      Il bug è CVE-2026-85046, un difetto di confusione di tipo in V8, il motore JavaScript di Chrome. Ha un punteggio CVSS di 8.8 e consente a un attaccante remoto di eseguire codice all'interno della sandbox tramite una pagina web creata ad hoc.

      Le versioni corrette sono 152.0.7977.82 e .83. Le note di rilascio di Google indicano che esiste un exploit in natura, e l'azienda ha trattenuto i dettagli fino a quando la maggior parte dei browser non sarà corretta.

      È il sesto zero-day di Chrome attivamente sfruttato quest'anno. Ogni browser basato su Chromium eredita il difetto, quindi Edge, Brave, Opera e Vivaldi necessitano dello stesso aggiornamento, e il rilascio è graduale piuttosto che istantaneo.

      Salvatore Gulizia ha segnalato il bug il 4 agosto ed è stato pagato 1.000 dollari. Il programma di Chrome paga fino a 250.000 dollari.

      Google non ha spiegato la cifra. I livelli di ricompensa dipendono dalla qualità della segnalazione e dal fatto che qualcun altro abbia trovato lo stesso bug per primo, e l'azienda non dice nulla su entrambi.

      Il tempismo è ciò che rende questa correzione più preziosa di un semplice numero di versione.

      Otto giorni dopo la sua distribuzione, le regole cambiano per chiunque venda software in Europa. Chrome è un prodotto con elementi digitali.

      Il Cyber Resilience Act inizia ad applicare i suoi obblighi di segnalazione l'11 settembre. I produttori devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi.

      Un avviso preliminare deve essere fornito entro 24 ore dalla presa di coscienza. Una notifica completa segue entro 72 ore, e un rapporto finale entro 14 giorni una volta che esiste una misura correttiva.

      Le segnalazioni passano attraverso una piattaforma unica al team di risposta nazionale pertinente e a ENISA contemporaneamente, che poi le trasmette a ogni paese in cui il prodotto è venduto. TNW ha esaminato cosa fa quel cronometro di 24 ore alle catene di fornitura del software.

      Il cronometro inizia dalla consapevolezza dello sfruttamento, non da una segnalazione di bug. Google sapeva entro il 3 settembre al più tardi, perché lo ha dichiarato pubblicamente.

      Niente di questa correzione ha infranto alcuna regola, perché la regola non era ancora in vigore. Dalla prossima settimana la stessa sequenza diventa una registrazione, in un'azienda che ha recentemente firmato una lettera che chiede che la difesa informatica sia trattata come una priorità di leadership.