Aggiornare Chrome non è mai stato così urgente: Google ha rilasciato una serie di correzioni di sicurezza per il proprio browser che coprono ben 37 falle, di cui sette classificate come critiche, con almeno una già attivamente sfruttata in attacchi reali prima che la patch fosse disponibile. Per chiunque navighi quotidianamente — che si tratti di accedere all’home banking, ai servizi della Pubblica Amministrazione digitale o semplicemente alla posta elettronica — le vulnerabilità di Chrome legate alla sicurezza di questo ciclo di aggiornamento rappresentano un rischio concreto, non teorico. E il problema si estende ben oltre il browser di Google: chi usa Edge, Brave o Vivaldi è esposto agli stessi rischi, ma con una finestra temporale di protezione più lunga.
Trentasette falle, sette critiche: cosa è stato corretto
Il pacchetto di aggiornamenti rilasciato da Google affronta un numero insolitamente elevato di problemi di sicurezza. Trentasette vulnerabilità corrette in un singolo ciclo è una cifra che colpisce anche gli addetti ai lavori: nella maggior parte dei casi, gli aggiornamenti mensili dei browser risolvono un numero molto più contenuto di problemi. La presenza di sette bug classificati come critical — il livello massimo nella scala di gravità usata da Google — indica che almeno alcune di queste falle avrebbero potuto consentire a un attaccante di prendere il controllo del sistema della vittima semplicemente inducendola a visitare una pagina web malevola.
Tra le tipologie di vulnerabilità più pericolose nei browser moderni rientrano i cosiddetti use-after-free, le heap buffer overflow e i problemi di type confusion nel motore JavaScript. Questi difetti, quando sfruttati, permettono l’esecuzione di codice arbitrario: in pratica, un sito web appositamente costruito può diventare un vettore di attacco in grado di installare malware, sottrarre credenziali o aprire backdoor nel sistema operativo. Non è necessario scaricare nulla: basta caricare la pagina sbagliata.
Lo zero-day già sfruttato: la minaccia più immediata per le vulnerabilità di sicurezza di Chrome
Il dettaglio più preoccupante dell’intero ciclo di aggiornamento riguarda la presenza di almeno una vulnerabilità zero-day, ovvero una falla già nota e attivamente utilizzata dagli attaccanti prima che Google rilasciasse la correzione. Questo significa che, nel periodo intercorso tra la scoperta della vulnerabilità e la disponibilità della patch, chiunque usasse Chrome senza aggiornamenti era potenzialmente esposto ad attacchi reali.
→ Leggi anche: Smartbox, la protezione dei dati personali tra normative europee e sistemi di sicurezza
Gli zero-day nei browser sono particolarmente temuti perché il vettore di attacco è invisibile per l’utente: non si tratta di allegati email sospetti o file da scaricare, ma della normale attività di navigazione. Le campagne che sfruttano queste falle vengono spesso usate in attacchi mirati contro professionisti, giornalisti, funzionari pubblici e aziende, ma possono colpire anche utenti comuni attraverso siti compromessi o pubblicità malevola, il cosiddetto malvertising.
Google ha aggiornato sia la versione desktop di Chrome — per Windows, macOS e Linux — sia quella per Android, proprio per chiudere questa finestra di esposizione il più rapidamente possibile. La versione iOS, basata su WebKit per ragioni legate alle politiche di Apple, segue un percorso di aggiornamento separato.
Edge, Brave, Vivaldi: il ritardo dei browser basati su Chromium
Chrome non è l’unico browser a rischio. Edge, Brave, Vivaldi e Opera sono tutti costruiti sul motore open source Chromium, lo stesso che sta alla base di Chrome. Questo significa che condividono gran parte del codice — e, di conseguenza, le stesse vulnerabilità di sicurezza. Quando Google corregge un bug in Chromium, tutti i browser derivati devono recepire quella correzione e distribuire a loro volta un aggiornamento ai propri utenti.
Il problema è che questo processo non è istantaneo. Microsoft, al momento del rilascio delle patch di Chrome, non aveva ancora distribuito l’aggiornamento corrispondente per Edge, lasciando gli utenti del browser di casa Microsoft in una finestra di esposizione prolungata. Si tratta di un ritardo strutturale: ogni produttore deve integrare le correzioni di Chromium nel proprio codice, eseguire test interni, e poi distribuire l’aggiornamento attraverso i propri canali. Tempi che possono variare da pochi giorni a settimane, a seconda della complessità delle modifiche e delle procedure di quality assurance adottate da ciascuna azienda.
Per chi usa Brave, Vivaldi o Opera, il meccanismo è analogo: il team di sviluppo deve attendere che le correzioni siano disponibili in Chromium, integrarle, e poi rilasciare un aggiornamento. Brave, in particolare, tende ad essere relativamente rapido in questo processo, ma anche pochi giorni di ritardo possono essere sufficienti per chi è nel mirino di attaccanti motivati.
→ Leggi anche: Android Auto via cavo, Google alza l'asticella: da ora serve Android 11 come minimo
Come verificare se il proprio browser è aggiornato
La buona notizia è che Chrome aggiorna sé stesso automaticamente in background, ma l’aggiornamento diventa effettivo solo al successivo riavvio del browser. Molti utenti tengono Chrome aperto per giorni o settimane senza mai riavviarlo, rendendo inutile il download automatico della patch.
Per verificare di essere protetti, è sufficiente aprire il menu di Chrome (i tre puntini in alto a destra), andare su Guida e poi su Informazioni su Google Chrome. Se compare un pulsante per riavviare il browser, significa che un aggiornamento è in attesa di essere applicato. Lo stesso controllo va fatto su Edge accedendo a Impostazioni e poi Informazioni su Microsoft Edge. Per Brave, il percorso è Impostazioni → Informazioni su Brave.
- Chrome: Menu → Guida → Informazioni su Google Chrome → Riavvia se richiesto
- Edge: Impostazioni → Informazioni su Microsoft Edge → Aggiorna se disponibile
- Brave: Impostazioni → Informazioni su Brave → Aggiorna e riavvia
- Vivaldi / Opera: controllare il menu principale → Aggiornamenti
Riavviare il browser dopo ogni aggiornamento non è un’azione opzionale: è il passaggio che rende effettiva la protezione. Per approfondire le pratiche di sicurezza legate ai browser, il blog di Malwarebytes offre analisi tecniche aggiornate su ciascun ciclo di patch.
Perché questi aggiornamenti riguardano anche chi usa servizi digitali pubblici
Per chi vive e lavora a Roma — o in qualsiasi contesto urbano dove l’accesso ai servizi digitali è ormai parte della routine — la sicurezza del browser è una questione pratica, non astratta. Prenotazioni sanitarie, accesso allo SPID, pagamenti tramite PagoPA, comunicazioni con enti pubblici: tutto passa dal browser. Una falla non corretta in Chrome può diventare il punto di ingresso per un attaccante che vuole sottrarre credenziali o intercettare sessioni autenticate.
La finestra di esposizione creata dal ritardo tra il rilascio della patch di Chrome e quello dei browser derivati è un promemoria utile: la sicurezza digitale non è mai garantita da un singolo strumento, ma da un insieme di abitudini — aggiornare regolarmente, riavviare il browser dopo ogni patch, e non ignorare le notifiche di aggiornamento. In un contesto in cui almeno una delle vulnerabilità corrette era già sfruttata attivamente, ogni ora di ritardo conta.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
