Chrome zero-day sotto attacco, WordPress supera 440.000 exploit e Plex corre ai ripari

🛡️ Executive Summary

• Google corregge CVE-2026-85046, type confusion High in V8 già sfruttata attivamente, portando Chrome desktop almeno alla versione 152.0.7977.82.
• Super Forms ed Elementor Pro superano insieme 440.000 tentativi di exploit contro falle di upload PHP sfruttabili senza autenticazione per ottenere RCE.
• Plex chiede l’aggiornamento immediato di Media Server almeno alla 1.43.3 e Desktop alla 1.115.0, ma non ha ancora divulgato CVE e vettori.

Tre fronti differenti mostrano quanto rapidamente una vulnerabilità possa passare dalla patch alla pressione operativa sui sistemi esposti. Google Chrome corregge una nuova falla V8 già sfruttata attivamente, identificata come CVE-2026-85046; nel mondo WordPress, gli attacchi contro Super Forms ed Elementor Pro hanno superato complessivamente 440.000 tentativi di exploit, utilizzando vulnerabilità che consentono di caricare webshell PHP senza autenticazione; Plex, infine, continua a chiedere agli utenti di aggiornare immediatamente Media Server e Desktop per un gruppo di problemi di sicurezza i cui dettagli non sono ancora pubblici. Tre situazioni diverse, ma con una stessa priorità: ridurre il tempo tra disponibilità della correzione e applicazione effettiva.

Chrome 152 corregge CVE-2026-85046 mentre l’exploit è già utilizzato nel mondo reale

Google ha aggiornato il canale Stable di Chrome alla 152.0.7977.82/.83 per Windows e macOS e alla 152.0.7977.82 per Linux, distribuendo complessivamente 12 correzioni di sicurezza. Nel bollettino ufficiale Chrome Releases l’azienda conferma esplicitamente di essere a conoscenza di un exploit attivo per CVE-2026-85046, vulnerabilità High di tipo type confusion nel motore V8 scoperta da Salvatore Gulizia, noto come Serotav, e segnalata il 4 agosto. Il problema può consentire a una pagina HTML costruita appositamente di provocare esecuzione di codice arbitrario all’interno della sandbox del browser. Il ricercatore ha descritto la causa come un errore nei compiler di V8 capace di assegnare a un array contenente PACKED_ELEMENTS una mappa PACKED_SMI_ELEMENTS, creando le condizioni per ottenere primitive di arbitrary read/write nell’heap JavaScript. Google non ha indicato chi stia sfruttando la vulnerabilità, quali vittime siano state colpite né se l’exploit venga concatenato con una seconda falla per uscire dalla sandbox. Proprio questa distinzione è importante: CVE-2026-85046 offre code execution nel renderer, ma un compromesso completo del sistema potrebbe richiedere un ulteriore passaggio. La patch arriva a pochi giorni dal rilascio di Chrome 152, già accompagnato da centinaia di correzioni di sicurezza, confermando quanto il ciclo di aggiornamento del browser resti strettamente legato alla rapidità con cui vengono scoperte nuove primitive di memoria.

Leggi anche: Chrome 151 corregge una falla Critical mentre Chrome 152 e 153 avanzano sui nuovi canali

V8 non è l’unico componente corretto: l’update chiude dodici vulnerabilità

La zero-day domina inevitabilmente il bollettino, ma la release corregge una superficie molto più ampia. Google elenca altre vulnerabilità High in CrashReporting, Network, Compositing, V8, WebGL, CacheStorage, DevTools, Skia e Compositing, oltre a due problemi Medium nelle Transactions Platform e nel componente Mobile. Tra i casi più rilevanti compaiono CVE-2026-85048, use-after-free in Compositing; CVE-2026-85045, race condition in V8; CVE-2026-85050, out-of-bounds write in WebGL; CVE-2026-85042, use-after-free in DevTools; e CVE-2026-85049, use-after-free in Skia. La presenza contemporanea di errori di memoria in motore JavaScript, rendering e grafica mostra perché l’aggiornamento non debba essere ridotto alla sola zero-day. Chrome distribuisce inoltre le stesse correzioni di sicurezza corrispondenti su Android con la versione 152.0.7977.82. L’intervento segue il precedente ciclo nel quale Chrome 151 aveva corretto una falla Critical e numerosi problemi High, ma questa volta la priorità cambia: non si tratta soltanto di rischio potenziale, perché Google conferma exploitation in-the-wild.

Super Forms supera 250.000 exploit e carica direttamente webshell PHP

Nel frattempo il fronte WordPress è già dentro una fase di mass exploitation. CVE-2026-14894, CVSS 9,8, interessa il plugin Super Forms – Drag & Drop Form Builder fino alla versione 6.3.313 ed è corretta dalla 6.3.314. Secondo la telemetria pubblicata da Wordfence e ripresa nell’analisi tecnica della campagna, sono stati bloccati oltre 250.000 tentativi di exploit. Gli attacchi sono iniziati il 14 luglio, cinque giorni dopo la disclosure pubblica. La vulnerabilità nasce dall’assenza di un controllo efficace sul tipo dei file caricati: un visitatore non autenticato può inviare attraverso super_submit_form un file dichiarato come immagine ma contenente in realtà PHP eseguibile. Nei campioni osservati compare Mushr00w_upl.php, una webshell/uploader incorporata come contenuto Base64 e preceduta artificialmente da data:image/gif;base64. Una volta depositato il file, il sito diventa un punto dal quale caricare ulteriori payload, creare persistenza o prendere il controllo dell’installazione. Il caso entra in una sequenza sempre più frequente di plugin WordPress nei quali funzioni pubbliche di upload vengono trasformate direttamente in primitive RCE.

Elementor Pro porta il totale oltre 440.000 richieste ostili

Alla pressione su Super Forms si sommano oltre 190.000 tentativi contro CVE-2026-32475, vulnerabilità di Elementor Pro già corretta nella versione 4.2.2. In questo caso il bug sfrutta una discrepanza logica nella validazione dei file: l’attaccante invia un array nel quale il primo elemento è vuoto e il secondo contiene un payload PHP. La prima condizione provoca l’uscita anticipata dalla funzione di validazione, mentre la routine successiva continua a elaborare il secondo elemento e lo salva sotto wp-content/uploads/elementor/forms/. La campagna è iniziata il 19 agosto, lo stesso giorno della disclosure pubblica e della disponibilità della patch. Il meccanismo tecnico di CVE-2026-32475 era già emerso immediatamente dopo la correzione; il dato nuovo è la trasformazione del rischio teorico in sfruttamento massivo. Sommando le rilevazioni Wordfence sui due plugin si superano così 440.000 exploit attempt, anche se il numero indica richieste bloccate e non 440.000 siti compromessi. Per gli amministratori WordPress la remediation non termina con l’aggiornamento: occorre cercare file PHP inattesi, nuove utenze amministrative, modifiche recenti ai plugin e richieste sospette a admin-ajax.php, perché una webshell installata prima della patch rimane operativa anche dopo l’upgrade.

Plex mantiene segreti i dettagli ma chiede di aggiornare immediatamente server e desktop

Il terzo sviluppo è diverso perché non esiste ancora una disclosure tecnica sufficiente per attribuire gravità e vettore alle vulnerabilità. Nel security notice ufficiale di Plex la società afferma di avere corretto “un numero di problemi di sicurezza” attraverso Plex Media Server 1.43.3 e Plex Desktop 1.115.0, invitando server owner e utenti desktop a installare immediatamente le versioni più recenti. Gli identificativi CVE sono stati richiesti, ma non risultano ancora pubblicati dettagli su authentication bypass, RCE, privilege escalation o exploitation attiva. La prudenza è quindi obbligatoria: non è possibile descrivere queste falle come critiche né affermare che siano già sfruttate. È però significativo che Plex abbia scelto una comunicazione esplicitamente urgente e che abbia dedicato istruzioni specifiche ai NAS, dove il package manager del produttore può non aver ancora ricevuto la release aggiornata. In quel caso Plex consiglia il download manuale del pacchetto. Il primo avviso pubblicato il 3 settembre aveva già delimitato le versioni vulnerabili e il rischio dei NAS rimasti indietro; finché non verranno diffusi i CVE, l’aggiornamento resta l’unica misura certa documentata dal vendor.

Continua con:

• PaperCut sotto attacco, GiveWP apre alla RCE e Cosmos EVM perde milioni
• Chrome ed Edge sotto attacco: 19 estensioni rubano wallet, credenziali e sessioni

Patch disponibili e exploit pubblici riducono rapidamente il margine per rinviare gli update

I tre casi rappresentano tre stadi differenti della gestione delle vulnerabilità. Chrome si trova già nella fase in cui il vendor conferma un exploit reale e distribuisce la correzione; Super Forms ed Elementor Pro hanno superato quella soglia e sono bersagli di campagne automatizzate su larga scala; Plex ha invece pubblicato la patch prima di rendere disponibili i dettagli tecnici. Per i difensori cambia la telemetria da cercare, ma non la priorità di base. Chrome deve essere portato almeno alla 152.0.7977.82, Super Forms alla 6.3.314, Elementor Pro alla 4.2.2 e Plex Media Server almeno alla 1.43.3, con Plex Desktop alla 1.115.0. Nel caso WordPress va aggiunta un’analisi retrospettiva del filesystem perché patchare un plugin non rimuove una webshell già caricata. La sequenza di settembre mostra soprattutto quanto si sia ridotta la tradizionale finestra di sicurezza tra disclosure e attacco: Elementor Pro è stato colpito nello stesso giorno della pubblicazione della falla, mentre Chrome arriva alla patch quando l’exploit è già in circolazione. La velocità dell’aggiornamento non è più manutenzione ordinaria: è parte della risposta all’incidente.