Chrome corregge il settimo zero-day del 2026 mentre ShieldCrash riapre Microsoft Defender

🛡️ Executive Summary

• Google Chrome 153 corregge CVE-2026-87491, vulnerabilità V8 già sfruttata in attacchi e settimo zero-day Chrome corretto nel 2026.
• ShieldCrash aggira la correzione di CVE-2026-69414 e permette su Windows aggiornati di leggere file arbitrari con privilegi SYSTEM.
• Chrome richiede l’aggiornamento immediato; per ShieldCrash non risulta ancora disponibile una patch specifica e Microsoft sta valutando la nuova tecnica.

Google e Microsoft affrontano due nuovi problemi zero-day a poche ore di distanza, ma con situazioni operative differenti. Chrome 153 corregge CVE-2026-87491, una vulnerabilità nel motore V8 che Google conferma essere già sfruttata in attacchi reali. Sul fronte Windows, invece, il ricercatore Nightmare Eclipse pubblica ShieldCrash, nuovo proof-of-concept contro Microsoft Defender che aggira la correzione appena distribuita per ShieldBreak/CVE-2026-69414. Il PoC attuale non offre ancora una shell SYSTEM completa: dimostra però la possibilità di effettuare letture arbitrarie di file con privilegi SYSTEM su sistemi completamente aggiornati, lasciando aperta una nuova superficie di escalation.

Chrome 153 corregge CVE-2026-87491 già sfruttata negli attacchi

Google ha portato Chrome 153 nel canale Stable per Windows, macOS e Linux con le versioni 153.0.8010.36/.37, distribuendo complessivamente 230 correzioni di sicurezza. Tra queste compare CVE-2026-87491, vulnerabilità classificata Medium nel bollettino ma considerata operativamente urgente perché Google conferma l’esistenza di un exploit utilizzato nel mondo reale. Il bollettino ufficiale Chrome mantiene ancora riservati diversi dettagli tecnici per lasciare agli utenti il tempo di aggiornare. La vulnerabilità è un out-of-bounds write in V8, il motore JavaScript e WebAssembly di Chrome. Un attaccante può costruire una pagina HTML capace di provocare una scrittura oltre i limiti previsti della memoria e ottenere una primitiva utile per corrompere l’heap del processo browser. Google non ha indicato chi stia sfruttando la falla né quali bersagli siano coinvolti, quindi non è possibile attribuire la campagna o stabilire se CVE-2026-87491 venga concatenata con un secondo exploit per uscire dalla sandbox. Il bug è stato segnalato da Jihyeon Jeong del Compsec Lab della Seoul National University e Google ha avviato il rollout della patch pochi giorni dopo la segnalazione. La velocità della risposta diventa ancora più significativa considerando che Chrome aveva già corretto CVE-2026-85046, type confusion V8 sfruttata attivamente, all’inizio di settembre. Due zero-day sfruttati nel giro di pochi giorni riportano quindi V8 al centro delle priorità di aggiornamento.

Leggi anche: Chrome 151 corregge una falla Critical mentre Chrome 152 e 153 avanzano nei nuovi canali

Chrome raggiunge il settimo zero-day corretto dall’inizio dell’anno

Con CVE-2026-87491 Google arriva al settimo zero-day Chrome corretto nel 2026, secondo il conteggio del vendor e delle disclosure pubbliche. La sequenza ha coinvolto componenti differenti, da V8 a Skia fino a Dawn/WebGPU, confermando come il browser continui a rappresentare una delle superfici più appetibili per exploit mirati. Il dato va letto insieme alla crescente complessità della piattaforma. Chrome incorpora rendering, JavaScript, GPU, WebAssembly, PDF, autenticazione, estensioni e nuove API web; ogni componente amplia contemporaneamente le capacità del browser e il numero di percorsi potenziali verso la corruzione della memoria o il superamento delle policy. Google ha già modificato il proprio Vulnerability Reward Program proprio per premiare maggiormente le catene di exploit Chrome più sofisticate, mentre l’uso di browser e store come vettore resta elevato anche fuori dagli zero-day, come dimostrato dalle campagne con estensioni Chrome ed Edge capaci di rubare wallet, credenziali e sessioni.

Per gli utenti la misura resta semplice: verificare da chrome://settings/help che il browser sia almeno alla versione 153.0.8010.36/.37 e riavviare Chrome dopo l’installazione.

ShieldCrash riapre la vulnerabilità Defender appena corretta

Più complessa è la situazione di Microsoft Defender. Poche ore dopo il Patch Tuesday di settembre, il ricercatore noto come Nightmare Eclipse ha pubblicato ShieldCrash, descritto come un bypass della correzione Microsoft per ShieldBreak, CVE-2026-69414. Il repository originale del proof-of-concept sostiene che la patch abbia chiuso diversi percorsi ma ne abbia lasciato uno sfruttabile in condizioni specifiche.

Il PoC pubblicato consente attualmente una lettura arbitraria di file nel contesto SYSTEM su Windows 10, Windows 11 e Windows Server completamente aggiornati. Questa distinzione è importante: ShieldCrash non dimostra ancora, nella versione resa pubblica, scrittura arbitraria o una completa escalation interattiva a SYSTEM. Il ricercatore sostiene però che la stessa primitiva possa essere ulteriormente sviluppata fino a una privilege escalation completa. La vulnerabilità arriva dopo una catena particolarmente problematica per Defender. RoguePlanet, identificata come CVE-2026-50656, utilizzava una race condition per ottenere privilegi SYSTEM ed era stata corretta da Microsoft; ShieldBreak aveva successivamente aggirato quella remediation e ripristinato il percorso di escalation. Microsoft ha quindi corretto ShieldBreak come CVE-2026-69414, ma ShieldCrash sostiene che anche questa seconda remediation non sia completa.

Defender diventa ancora una volta la primitiva dell’attaccante

Il problema è particolarmente paradossale perché Defender deve essere presente e operativo affinché questa famiglia di tecniche funzioni. L’attaccante sfrutta infatti comportamenti privilegiati del motore di sicurezza per ottenere operazioni che un normale processo utente non dovrebbe poter compiere. Non è un episodio isolato. A giugno Microsoft Defender era già finito al centro di una serie di zero-day capaci di raggiungere SYSTEM, mentre ad agosto BTR Reforged aveva mostrato come il driver firmato BTR.sys potesse diventare una primitiva kernel contro antivirus ed EDR. Più recentemente un semplice problema nelle firme aveva inoltre provocato crash di Defender durante le scansioni su Windows 10 e Windows 11, confermando quanto il componente sia ormai profondamente intrecciato con il funzionamento del sistema. Al momento ShieldCrash non dispone di una CVE propria né di una patch specifica. Microsoft non aveva ancora pubblicato una risposta tecnica definitiva al nuovo PoC nelle ore successive alla disclosure. CrowdStrike, analizzando il Patch Tuesday di settembre, considera le affermazioni ancora in fase di verifica ma osserva che precedenti disclosure dello stesso ricercatore si sono spesso dimostrate tecnicamente valide.

Continua con:

• BTR.sys trasforma Microsoft Defender in uno strumento kernel contro EDR e antivirus
• Patch Tuesday agosto corregge 400 falle e tre zero-day Windows

Chrome ha già la patch, ShieldCrash resta il problema aperto

Le due disclosure richiedono quindi reazioni differenti. Per Chrome CVE-2026-87491 la soluzione è già disponibile e la presenza di exploit reali rende inutile rinviare l’aggiornamento. Per ShieldCrash la situazione resta invece aperta: il codice pubblico aumenta la pressione sui sistemi Windows, ma il PoC attuale dimostra soprattutto accesso in lettura come SYSTEM, non ancora una compromissione completa del sistema. La sequenza RoguePlanet → ShieldBreak → ShieldCrash mette però in evidenza un problema più profondo: correggere la singola variante senza eliminare la classe di comportamento vulnerabile può trasformare una patch in una breve pausa tra due bypass. Nel browser la priorità è ridurre immediatamente la finestra di esposizione; su Defender, Microsoft deve invece dimostrare che la prossima correzione interrompa definitivamente una catena che continua a riapparire sotto nomi diversi.