Chrome: aggiorna, falla con exploit in circolazione (XML)

Google ha corretto in Chrome la falla CVE-2026-125350, nel componente che legge i file XML: Google scrive che un exploit «esiste in circolazione». Per BleepingComputer è l'ottavo zero-day di Chrome del 2026. La correzione è nella versione 157.0.8103.50 (o .51 su Windows e Mac): aggiorna e riavvia il browser.

Fabrizio Picco
aggiornata il 10 novembre 2026 · si legge in 3 minuti

Usi Chrome e vuoi sapere se devi fare qualcosa. Sì: aggiornalo e riavvialo. Qui trovi cosa ha detto Google, cosa non ha detto e come controllare la versione. Scritta il 10 novembre 2026.

Cosa è successo

Google ha pubblicato (l'avviso è di lunedì, secondo BleepingComputer) un aggiornamento di sicurezza di Chrome per computer. Dentro c'è la correzione di CVE-2026-125350, una falla ad alta gravità nel componente XML, la parte che legge i file XML.

È un use-after-free: il programma cancella un oggetto dalla memoria ma non azzera il puntatore che lo indica; usarlo dopo può permettere di manipolare la memoria ed eseguire codice.

Google scrive di sapere che un exploit esiste «in the wild», cioè in circolazione: è il caso che i tecnici chiamano zero-day. Secondo BleepingComputer è l'ottavo di Chrome nel 2026.

Secondo l'avviso di Google le versioni corrette sono 157.0.8103.50 e .51 su Windows e Mac, 157.0.8103.50 su Linux. Chi usa il canale Extended Stable (reparti IT aziendali) ha la correzione nella 156.0.8078.96.

Illustrazione concettuale di un file di codice che entra in un ingranaggio che lo elabora, spaccato da una crepa rossa con un triangolo di allarme

Cosa non si sa ancora

Google non ha dato dettagli sugli attacchi: non si sa chi li compie, chi ne sia colpito né quanti siano. Google dice che la falla è stata segnalata in forma anonima il 6 novembre 2026. Non risulta ancora un punteggio CVSS e non si sa se serva un'altra falla per completare l'attacco.

Google spiega che i dettagli tecnici possono restare riservati finché la maggioranza degli utenti non ha aggiornato.

Su telefono. Google ha rilasciato lo stesso giorno Chrome 157.0.8103.50 per Android, con le stesse correzioni di sicurezza della versione per computer (salvo eccezioni, che non sono indicate): aggiornalo da Google Play. Per iPhone e iPad non abbiamo trovato una fonte: non verificato.

Cosa fare adesso

Google dice che il rilascio può richiedere giorni o settimane; BleepingComputer ha trovato l'aggiornamento subito disponibile.

Questi passi sono nostri, non di Google:

Apri Chrome, clicca sui tre puntini in alto a destra, poi su Guida e su Informazioni su Google Chrome.
Lascia che Chrome cerchi e scarichi l'aggiornamento. Su Linux l'aggiornamento potrebbe arrivare dal gestore di pacchetti del sistema: non verificato su fonte.
Se compare Riavvia, cliccalo: la correzione è attiva solo dopo il riavvio.
Controlla il numero di versione: su Windows, Mac e Linux dev'essere 157.0.8103.50 o più alto.

Da dove vengono questi dati

Il resoconto viene da due fonti lette per intero il 10 novembre 2026: gli avvisi ufficiali di Google (Chrome Releases, 9 novembre) e BleepingComputer (10 novembre). Il numero «ottavo zero-day» è di BleepingComputer; Google non numera le falle.

Domande frequenti

Devo aggiornare Chrome subito?

Sì: Google dice che un exploit per CVE-2026-125350 è in circolazione. Vai su Guida → Informazioni su Google Chrome e riavvia se richiesto.

Cos'è uno zero-day?

Una falla che viene sfruttata dagli aggressori prima che il produttore abbia pronta una correzione. Per questa falla Google dice che un exploit esiste in circolazione.

Si sa chi sta attaccando?

No: Google non ha condiviso dettagli sugli attacchi.