Google Chromium

Google Chromium: use after free in XML, codice eseguibile nella sandbox, già sfruttata

CVE-2026-125350 Già sfruttata Alta · 8.8

Prodotto: Google Chromium
Pubblicata: 10 novembre 2026
Nel catalogo CISA delle sfruttate dal: 10 novembre 2026
Gravità (CVSS): 8.8 / 10
Probabilità di sfruttamento nei prossimi 30 gg (EPSS): 1.0%

Il problema, secondo i dati ufficiali

Un errore di tipo use after free (uso di memoria già liberata) nella gestione di XML in Google Chromium permette a un attaccante remoto di eseguire codice arbitrario all'interno della sandbox.
L'attacco avviene tramite una pagina HTML appositamente costruita.
Secondo il punteggio ufficiale si sfrutta a distanza, via rete, senza bisogno di un account, ma serve un'azione di un utente.
È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 10/11/2026.

Cosa fare

Aggiorna Chrome alla versione 157.0.8103.50 o successiva.
Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.

Versioni interessate

Chrome: prima della 157.0.8103.50

Ne parlano

Risolte vulnerabilità in Google Chrome — CSIRT Italia, 10 novembre 2026
Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026 — The Hacker News, 10 novembre 2026

Fonti ufficiali

nvd.nist.gov — avviso del produttore
chromereleases.googleblog.com — riferimento
issues.chromium.org — riferimento

Descrizione ufficiale (in inglese)

Use after free in XML in Google Chrome prior to 157.0.8103.50 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High)

Non sai se ti riguarda?

Se usi Google Chromium e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.

Intestazioni di sicurezza Controllo SSL Contattaci Tutte le allerte

Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.