CVE-2026-3909 e CVE-2026-3910: due zero-day Chrome sfruttati attivamente

Il fatto

Il 13 marzo 2026, Google ha rilasciato un aggiornamento di emergenza per Chrome dopo aver confermato che due vulnerabilità ad alta severità venivano attivamente sfruttate nel mondo reale. I problemi colpiscono la versione stabile di Chrome per Windows, macOS e Linux — browser usato da oltre 3,5 miliardi di persone nel mondo.

Entrambe le CVE erano state scoperte internamente dallo stesso team di Google il 10 marzo 2026 e patchate in soli due giorni. La CISA (Cybersecurity and Infrastructure Security Agency) americana le ha aggiunte al proprio catalogo KEV il 13 marzo, imponendo alle agenzie federali civili di applicare la patch entro il 27 marzo.

CVE-2026-3909 — Out-of-bounds write in Skia

CVSS Score: 8.8 (High) Componente colpita: Skia — la libreria grafica 2D open source che gestisce il rendering di tutto il contenuto visivo di Chrome.

Cos’è Skia

Skia è il motore grafico su cui Chrome — ma anche Android, Flutter, LibreOffice e decine di altri prodotti — si basa per disegnare testo, immagini, forme e interfacce utente. È ovunque, il che rende ogni sua vulnerabilità particolarmente pericolosa per la superficie d’attacco.

La vulnerabilità

Un out-of-bounds write avviene quando un programma scrive dati oltre i confini di un buffer di memoria allocato. Questo sovrascrive aree di memoria adiacenti, può causare il crash del processo, la corruzione della memoria, e — in condizioni sfruttabili — l’esecuzione di codice arbitrario.

Nel caso di Skia in Chrome, un attaccante può costruire una pagina HTML con contenuto grafico appositamente modificato che, quando renderizzato dal browser, innesca il bug. In uno scenario di sfruttamento riuscito, il codice dell’attaccante viene eseguito nel contesto del processo di rendering di Chrome.

Attaccante → Pagina HTML malevola
→ Chrome renderizza il contenuto grafico
→ Skia scrive fuori dai limiti del buffer
→ Memoria corrotta
→ Possibile esecuzione di codice nel processo Chrome

Impatto pratico

Visiting alone una pagina web controllata dall’attaccante è sufficiente per innescare la vulnerabilità — nessun click aggiuntivo, nessun download. Questo tipo di attacco è spesso chiamato “drive-by download” o “zero-click” nel contesto browser.

CVE-2026-3910 — Inappropriate implementation in V8

CVSS Score: 8.8 (High) Componente colpita: V8 — il motore JavaScript e WebAssembly ad alte prestazioni di Chrome.

Cos’è V8

V8 è il motore che interpreta ed esegue il codice JavaScript presente nelle pagine web. È probabilmente il componente di Chrome più attaccato nella storia: la sua complessità, la velocità di esecuzione richiesta, e l’esposizione diretta a qualsiasi codice JavaScript su internet lo rendono un bersaglio perenne.

La vulnerabilità

Google descrive questa come una “inappropriate implementation” — una categoria volutamente vaga che indica un’implementazione che non rispetta le specifiche o che permette comportamenti non intenzionali. Nel contesto di V8, questo tipo di flaw può permettere a codice JavaScript malevolo di:

• Eseguire codice arbitrario all’interno della sandbox del browser
• Manipolare la memoria del processo V8
• Creare primitive di exploit utilizzabili per catene di attacco più complesse

Una pagina HTML con JavaScript appositamente costruito può triggerare il bug permettendo l’esecuzione di codice arbitrario dentro la sandbox di Chrome.

Perché i bug V8 sono così redditizi

JavaScript è costantemente in esecuzione durante la normale navigazione. Ogni pagina web moderna contiene JavaScript. Questo significa che la superficie d’attacco è enorme e che le opportunità di sfruttamento sono quasi infinite durante una sessione di browsing normale.

Il contesto: terzo zero-day Chrome del 2026

Questi non sono i primi zero-day Chrome del 2026. A febbraio era già stato patchato CVE-2026-2441, un iterator invalidation bug nel componente CSSFontFeatureValuesMap, anch’esso sfruttato attivamente.

Il trend è preoccupante. Secondo il Google Threat Intelligence Group, nel 2025 sono stati sfruttati 90 zero-day nel mondo reale — rispetto ai 78 del 2024. Le tecnologie enterprise hanno rappresentato il 48% dei casi, un record.

Chi era dietro allo sfruttamento

Google, come di consueto, non ha rivelato dettagli sull’identità degli attaccanti o sui target. Questa è una prassi standard: pubblicare i dettagli tecnici prima che la maggior parte degli utenti abbia applicato la patch amplificherebbe il danno anziché ridurlo.

I vettori di delivery tipici per zero-day browser includono:

• Watering hole: siti web legittimi compromessi per servire exploit a visitatori specifici
• Malvertising: reti pubblicitarie usate per distribuire pagine di exploit
• Spear phishing: link inviati a target specifici che portano a pagine malevole
• Compromissione di tooling per sviluppatori

Versioni affette e aggiornamento

Tutte le versioni di Chrome precedenti a:

Come aggiornare:

Chrome → Menu (⋮) → Guida → Informazioni su Google Chrome
→ Chrome verifica automaticamente gli aggiornamenti
→ Riavvia il browser per applicare

Il semplice aggiornamento non basta: bisogna riavviare Chrome perché la versione patchata sia effettivamente attiva. Molti utenti lasciano Chrome aperto per giorni senza mai riavviarlo.

Implicazioni per le organizzazioni

Per le aziende, questi zero-day non sono solo un problema degli utenti finali. Anche un singolo dipendente che visita una pagina malevola su un laptop aziendale può tradursi in:

• Furto di credenziali memorizzate nel browser
• Accesso alla rete aziendale tramite il cookie di sessione VPN
• Installazione silente di malware
• Punto di partenza per movimento laterale

La gestione centralizzata del patching dei browser aziendali è una delle attività di sicurezza con il miglior rapporto costo/beneficio. Come ha commentato David Shipley di Beauceron Security: “Se non stai gestendo le patch del browser, le probabilità di essere compromesso aumentano ogni giorno.”

Conclusione

Due zero-day Chrome sfruttati attivamente in una settimana sola, preceduti da un terzo a febbraio — il 2026 si conferma un anno difficile per la sicurezza dei browser. Il messaggio è semplice: aggiorna Chrome oggi, riavvialo, e implementa un processo automatizzato di patching dei browser aziendali se non lo hai già fatto.