Google Chrome, patch d’emergenza per una falla zero-day già sfruttata
Dopo l’update straordinario dello scorso dicembre, Google inaugura il 2026 con un nuovo aggiornamento di emergenza per il suo browser Chrome, intervenendo su una vulnerabilità zero-day già sfruttata in attacchi da parte dei pirati informatici. Il problema, tracciato come CVE-2026-2441, riguarda un errore di corruzione della memoria nel componente CSSFontFeatureValuesMap, causato da un difetto di invalidazione dell’iteratore durante l’elaborazione dei font. In determinate condizioni la falla poteva provocare crash improvvisi del browser, rendering instabili, corruzione dei dati e altri comportamenti indefiniti, aprendo potenzialmente la strada a exploit più complessi.
La debolezza è stata individuata dal ricercatore di sicurezza Shaheen Fazim, che ha segnalato il problema dopo averne verificato lo sfruttamento attivo. Una volta confermata la minaccia, Google ha avviato un’indagine immediata e distribuito una patch d’urgenza per ridurre rapidamente l’esposizione degli utenti. L’azienda precisa che, sebbene la correzione affronti il rischio principale, alcune componenti restano sotto monitoraggio interno, segnale che potrebbero seguire ulteriori interventi di hardening.
L’aggiornamento è disponibile per le versioni desktop di Windows, macOS e Linux ed è in distribuzione graduale. Le build corrette sono 145.0.7632.76 per Windows, 145.0.7632.75 e 145.0.7632.76 per macOS e 144.0.7559.75 per Linux. Per la maggior parte degli utenti la patch verrà applicata automaticamente al riavvio del browser, ma Google raccomanda comunque di verificare manualmente la presenza dell’update per assicurarsi di essere protetti. In ambito aziendale e nelle organizzazioni, la priorità resta l’implementazione tempestiva della correzione per ridurre al minimo la superficie d’attacco.
Come misura aggiuntiva di sicurezza, Google ha temporaneamente limitato la diffusione dei dettagli tecnici della vulnerabilità finché la maggioranza degli utenti non avrà installato l’aggiornamento, una pratica comune quando una falla risulta già sfruttata nel mondo reale. L’obiettivo è impedire che informazioni troppo precise possano facilitare nuovi attacchi prima che la protezione sia ampiamente distribuita.
