Fatti Rapidi

• L’aggiornamento Chrome 142 corregge cinque vulnerabilità, tra cui tre classificate ad alta gravità.
• I principali difetti riguardano WebGPU, il framework Views UI e il motore JavaScript V8.
• Non ci sono ancora prove di sfruttamento attivo, ma bug simili sono stati usati in importanti attacchi informatici.
• Le minacce basate su browser sono in aumento man mano che le web app e i carichi di lavoro AI diventano più complessi.
• Gli aggiornamenti sono in distribuzione ora per utenti Windows, Mac e Linux.

Il campo di battaglia delle patch: browser sotto assedio

Immagina il tuo browser come una città brulicante con centinaia di porte aperte - ogni scheda una finestra sulla tua vita digitale. Per i criminali informatici, ogni pagina aperta è una possibile effrazione. Questa settimana, Google ha corso per rafforzare le mura della città, rilasciando Chrome 142 per correggere cinque falle di sicurezza, tre delle quali abbastanza gravi da permettere a hacker esperti di superare le difese digitali.

La più allarmante di queste è CVE-2025-12725, una vulnerabilità di tipo “out-of-bounds write” nascosta nel motore grafico WebGPU di Chrome. Pensa a WebGPU come alla rete elettrica della città, che illumina visualizzazioni ad alte prestazioni per tutto, dal gaming agli strumenti AI. Ma un piccolo errore nel modo in cui Chrome controlla i limiti di memoria significava che gli hacker potevano, in teoria, prendere il controllo di questa rete per far crashare il browser - o peggio, eseguire il proprio codice.

Con i confini tra app desktop e web sempre più sfumati, i carichi di lavoro AI e grafici basati su browser sono ora un bersaglio appetibile. Secondo la società di sicurezza SOCRadar, il rischio non è solo teorico: attaccanti sofisticati cercano costantemente queste crepe, soprattutto mentre le aziende si affidano sempre più alla tecnologia browser per il lavoro quotidiano.

Vecchi trucchi, nuovi bersagli: lezioni dalle violazioni passate

L’aggiornamento di Chrome chiude anche falle nel framework Views UI (CVE-2025-12726) e nel motore JavaScript V8 (CVE-2025-12727). In parole semplici, questi sono i sistemi che gestiscono ciò che vedi sullo schermo e come le pagine web eseguono il codice, rispettivamente. Debolezze qui sono già state sfruttate: nel 2023, un bug di V8 ha aiutato a diffondere spyware collegato a team di hacker internazionali. Errori di tipo e di memoria - dove il browser viene ingannato sul tipo di dati che sta gestendo - possono permettere agli attaccanti di prendere il controllo da remoto.

Le altre due correzioni riguardano problemi di media gravità in Omnibox, la barra degli indirizzi di Chrome. Anche se meno drammatici, anche questi “implementazioni inappropriate” possono essere trampolini di lancio per attacchi più complessi. Nel mondo ad alto rischio della sicurezza dei browser, nessun bug è troppo piccolo per essere ignorato.

Perché i browser sono ora i bersagli principali

Come sottolinea Gene Moody, CTO di Action1, i browser sono diventati la più grande superficie d’attacco nella maggior parte delle organizzazioni. A differenza dei vecchi software, i browser sono sempre attivi, sempre connessi e costantemente eseguono nuovo codice - a volte da siti affidabili, a volte da annunci o pop-up sospetti. Il ritmo di scoperta e sfruttamento fa sì che gli aggiornamenti dei browser arrivino ora più rapidamente rispetto a quasi tutti gli altri software, a volte anche più volte a settimana. Restare indietro, anche solo per poco, può essere disastroso.

Anche se Google afferma che non ci sono segni che queste falle siano già state sfruttate, la storia mostra che la divulgazione pubblica spesso scatena una corsa tra chi applica le patch e chi attacca. L’aggiornamento Chrome 142 è uno scudo cruciale, ma la battaglia non finisce mai davvero.

WIKICROOK

• Out: La verifica Out-of-Band conferma l’identità usando un canale separato, come una telefonata o un SMS, per aumentare la sicurezza e prevenire accessi non autorizzati.
• WebGPU: WebGPU è una tecnologia dei browser che consente ai siti web di utilizzare la GPU del tuo computer per grafica avanzata, permettendo giochi più fluidi e visuali interattive online.
• V8 JavaScript Engine: Il motore JavaScript V8 è la tecnologia di Google per eseguire JavaScript rapidamente in Chrome, Node.js e altre piattaforme, abilitando applicazioni web veloci.
• Type Confusion: La type confusion è un errore di programmazione in cui il software interpreta erroneamente i tipi di dati, permettendo potenzialmente agli attaccanti di eseguire codice malevolo o compromettere la sicurezza.
• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta e sconosciuta al produttore del software, senza una correzione disponibile, e per questo molto preziosa e pericolosa per gli attaccanti.