Chrome 151 si aggiorna su ogni piattaforma, Edge chiude Manifest V2

💻 Novità principali

• Google aggiorna Chrome 151 su desktop, Android e iOS, mentre Beta, Dev, Extended Stable e ChromeOS anticipano i prossimi cicli.
• Microsoft Edge inizia ad agosto a disabilitare gradualmente Manifest V2, con completamento consumer entro fine 2026 ed enterprise nel 2027.
• Mozilla revoca una chiave GPG dopo la presenza accidentale della copia non cifrata in un repository GitHub privato e attiva una nuova subkey.

Google concentra in pochi giorni una nuova tornata di aggiornamenti per l’intero ecosistema Chrome, coinvolgendo desktop, Android, iOS, ChromeOS e i canali Beta, Dev, Extended Stable e LTS. Parallelamente Microsoft Edge avvia la fase concreta di abbandono delle estensioni Manifest V2, destinato a completarsi per gli utenti consumer entro la fine del 2026, mentre Mozilla sostituisce la chiave GPG utilizzata per firmare alcuni artefatti di Firefox e Thunderbird dopo che una copia non cifrata della precedente subkey era stata inserita accidentalmente in un repository GitHub privato. I tre sviluppi riguardano aspetti differenti del browser moderno — aggiornamenti rapidi, sicurezza delle estensioni e integrità della supply chain — e confermano una fase nella quale distribuzione e verifica del software diventano importanti quanto le nuove funzionalità.

Chrome 151 raggiunge desktop, Android e iOS

Il ramo stabile di Chrome 151 è ormai distribuito sulle principali piattaforme. Su Android Google ha portato il browser alla versione 151.0.7922.83, annunciando miglioramenti di stabilità e prestazioni e una distribuzione progressiva attraverso Google Play. Su iOS la versione stabile indicata da Google è 151.0.7922.105, mentre il canale desktop è stato aggiornato il 6 agosto alla famiglia 151.0.7922.108, con build differenti a seconda del sistema operativo. La successione ravvicinata dei rilasci conferma il modello ormai consolidato di Chrome, nel quale i singoli canali procedono con cadenze differenti ma condividono lo stesso ciclo principale. Google mantiene i dettagli completi delle modifiche nei log Chromium, mentre gli annunci del Chrome Releases Blog servono soprattutto a identificare versioni, piattaforme e stato del rollout. La struttura era già emersa negli aggiornamenti browser di gennaio, quando Chrome distribuiva contemporaneamente versioni desktop, Android e ChromeOS, con il browser Google sempre più organizzato come un flusso continuo di release anziché come una successione di aggiornamenti isolati.

Beta e Dev preparano già Chrome 152 e 153

Mentre Chrome 151 arriva nel canale stabile, lo sviluppo è già avanzato sulle generazioni successive. Chrome Beta 152 su Android raggiunge la versione 152.0.7977.30, mentre Google mantiene in parallelo Beta per desktop e iOS. Sul ramo più sperimentale, Chrome Dev per desktop è già alla versione 153.0.7993.0 su Windows, macOS e Linux. Questa sovrapposizione tra 151 stabile, 152 beta e 153 dev permette a Google di separare la distribuzione destinata agli utenti dalla validazione anticipata delle modifiche che arriveranno nei cicli successivi. Per sviluppatori web e amministratori enterprise significa poter verificare regressioni e incompatibilità con settimane di anticipo, soprattutto nei prodotti che dipendono da API Chromium, estensioni o policy aziendali. Il modello si collega alla più ampia evoluzione dei browser del 2026, già evidente quando Chrome e Firefox hanno iniziato a differenziare sempre più nettamente UX, privacy e architetture delle estensioni.

ChromeOS mantiene tre velocità tra Beta e LTS

Anche ChromeOS e ChromeOS Flex seguono una struttura di rilascio differenziata. Il canale Beta è stato aggiornato il 4 agosto alla piattaforma 16733.40.0, associata a Chrome 151, mentre il ramo Long Term Support ha ricevuto il 10 agosto una nuova build LTS-144, Chrome 144.0.7559.259 e Platform Version 16503.92.0. La differenza tra i due rami è intenzionale: Beta anticipa rapidamente le modifiche che diventeranno stabili, mentre LTS resta su una major precedente e privilegia prevedibilità e riduzione delle variazioni, caratteristiche particolarmente importanti nei parchi education ed enterprise. La disponibilità di una versione LTS dedicata permette quindi agli amministratori di evitare il ciclo più rapido del browser senza rinunciare alle correzioni previste dal canale di lungo periodo. Google continua inoltre a pubblicare separatamente Dev Channel per ChromeOS, mantenendo distinto il testing del sistema operativo dal normale sviluppo di Chrome desktop.

Extended Stable resta una generazione indietro

Sul desktop esiste inoltre il canale Extended Stable, aggiornato il 6 agosto alla versione 150.0.7871.224 per Windows e macOS. Anche in questo caso Google mantiene volontariamente una major precedente rispetto a Chrome 151 Stable, offrendo alle organizzazioni che privilegiano stabilità e finestre di validazione più lunghe un ritmo meno aggressivo. La scelta ha un valore soprattutto nelle aziende che utilizzano applicazioni web interne, estensioni gestite o policy che devono essere verificate prima di ogni salto di major release. Il risultato è un ecosistema nel quale la stessa settimana vede convivere Chrome 144 LTS, 150 Extended Stable, 151 Stable, 152 Beta e 153 Dev, una stratificazione che descrive meglio di qualsiasi singolo numero di versione il modello operativo del browser Google.

Edge comincia a spegnere Manifest V2 per gli utenti consumer

Il cambiamento più importante sul fronte Microsoft riguarda invece le estensioni di Edge. Dal mese di agosto Microsoft avvia la transizione consumer da Manifest Version 2 a Manifest Version 3, dopo avere mantenuto per anni compatibilità con MV2 per lasciare più tempo a sviluppatori e aziende. Secondo il Microsoft Edge Team, il 95% delle principali estensioni MV2 presenti nell’Edge Add-ons Store è già migrato a MV3. Restano soltanto 58 estensioni MV2 con un utilizzo considerato significativo e, tra queste, appena tre non dispongono ancora di un’alternativa MV3 pubblicamente disponibile. Il dato permette a Microsoft di passare dalla fase di incoraggiamento alla disattivazione progressiva, completando un percorso iniziato nel 2020 e strettamente collegato alla piattaforma Chromium.

Le estensioni MV2 verranno disabilitate progressivamente

Il rollout parte dai canali Canary, Dev e Beta e raggiungerà gradualmente Stable. Gli utenti che possiedono estensioni MV2 inizieranno a vedere avvisi nella pagina edge://extensions e nelle schede dello store, mentre nei mesi successivi i componenti incompatibili verranno disabilitati di default. Microsoft prevede di completare la transizione consumer entro la fine del 2026, lasciando invece fuori da questa prima fase i dispositivi gestiti. Per gli ambienti enterprise, la deprecazione è prevista all’inizio del 2027. La scelta riduce quindi il rischio di spezzare improvvisamente workflow aziendali basati su estensioni legacy e offre agli amministratori una finestra aggiuntiva per migrare policy e componenti interni. È un passaggio particolarmente significativo dopo la scoperta di StegoAd, campagna che aveva portato Microsoft a rimuovere 119 estensioni malevole da Edge: il passaggio a MV3 non elimina il rischio di estensioni ostili, ma ridisegna permessi, lifecycle e capacità disponibili ai componenti aggiuntivi.

Manifest V3 modifica il modello di fiducia delle estensioni

Microsoft presenta MV3 come un’architettura più sicura e performante rispetto alla generazione precedente. Tra i cambiamenti strutturali più importanti dell’ecosistema Chromium figurano la maggiore restrizione del codice eseguito dalle estensioni, il passaggio dai background persistenti ai service worker e una diversa gestione delle richieste di rete. Questo riduce alcune superfici abusive presenti in MV2 ma introduce anche cambiamenti tecnici rilevanti per ad blocker, VPN, password manager e strumenti enterprise. Microsoft sostiene che la grande maggioranza delle principali estensioni abbia completato la migrazione senza perdita di funzionalità per gli utenti, un elemento usato per giustificare l’avvio della fase di dismissione. Per gli sviluppatori rimasti su MV2 il messaggio è quindi ormai operativo: la nuova versione deve essere pubblicata attraverso Microsoft Partner Center prima che la progressiva disabilitazione raggiunga il canale utilizzato dai propri utenti.

Mozilla cambia la chiave GPG di Firefox e Thunderbird

Mozilla affronta invece un problema di supply chain e firma del software. Il 10 agosto l’organizzazione ha comunicato di avere attivato una nuova subkey GPG utilizzata per firmare determinati artefatti di Firefox e Thunderbird, in particolare tarball Linux, pacchetti RPM e file checksum. La sostituzione è stata decisa dopo che una copia non cifrata della precedente subkey è stata accidentalmente committata in un repository GitHub privato. Mozilla precisa nel Security Blog dedicato alla rotazione della chiave che la revisione degli audit log disponibili non ha trovato evidenze di accessi non autorizzati, mentre il repository era accessibile soltanto a un piccolo gruppo di dipendenti che disponevano già legittimamente dell’accesso alla chiave attraverso altri meccanismi. La precedente subkey è stata comunque revocata e Mozilla ha introdotto ulteriori salvaguardie per impedire che una situazione analoga si ripeta.

Per la maggioranza degli utenti Firefox non richiede interventi

Mozilla chiarisce che la maggior parte degli utenti non deve fare nulla. L’intervento riguarda principalmente chi verifica manualmente le firme GPG e alcune installazioni Firefox basate sui pacchetti RPM ufficiali Mozilla. Gli utenti Fedora 43 e versioni successive riceveranno automaticamente la nuova chiave tramite dnf durante l’aggiornamento, dovendo soltanto confermare che il fingerprint presentato sia quello corretto. La situazione è diversa su Fedora 42 e precedenti, RHEL, Rocky Linux e AlmaLinux, dove il package manager non riesce a sostituire autonomamente la chiave già presente: in questi ambienti Mozilla richiede la rimozione della precedente chiave e la successiva importazione di quella nuova. Anche openSUSE e SUSE richiedono un intervento manuale analogo attraverso zypper. Thunderbird non distribuisce invece pacchetti RPM ufficiali, quindi questa specifica procedura non riguarda il client email.

La nuova subkey Mozilla scade nel 2028

La nuova subkey utilizzata per la firma ha fingerprint 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3 e scadenza fissata al 5 agosto 2028. La chiave primaria continua invece a utilizzare il fingerprint 14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. Mozilla avverte inoltre che, dopo l’importazione della revoca, le release firmate con la precedente subkey non risulteranno più verificabili nello stesso modo, conseguenza normale del modello GPG adottato. Il caso non equivale quindi a una compromissione confermata della supply chain Firefox: Mozilla non ha trovato prove che soggetti non autorizzati abbiano ottenuto la chiave, ma ha scelto di revocarla perché una chiave privata di firma deve essere considerata sensibile anche quando l’esposizione potenziale avviene all’interno di un repository privato. La differenza è essenziale per evitare di trasformare una misura precauzionale in un breach non dimostrato.

Chrome, Edge e Firefox rafforzano tre livelli differenti del browser

Gli aggiornamenti di agosto descrivono tre problemi distinti ma complementari. Google continua a spingere sulla velocità del ciclo di distribuzione, mantenendo contemporaneamente rami Stable, Extended Stable, Beta, Dev e LTS; Microsoft riduce progressivamente una superficie legacy delle estensioni attraverso l’abbandono di Manifest V2; Mozilla interviene invece sull’integrità crittografica degli artefatti distribuiti, ruotando una chiave che avrebbe potuto diventare un punto critico della propria supply chain. Sono tre modi diversi di gestire la fiducia nel browser: controllare quale versione viene eseguita, limitare ciò che un’estensione può fare e verificare che il software distribuito provenga realmente dal produttore. La convergenza è significativa perché il browser è ormai contemporaneamente runtime applicativo, gestore di identità, piattaforma di estensioni e canale di distribuzione del software. Proprio per questo sicurezza e manutenzione non possono essere separate dal modello con cui Chrome, Edge e Firefox vengono aggiornati e verificati.