Chrome 153 corregge 230 falle, Chrome 154 entra già nell’Early Stable

🛡️ Executive Summary

• Chrome 153 arriva su Windows, macOS, Linux e Android con 230 correzioni di sicurezza e cinque vulnerabilità classificate Critical.
• WebGL concentra quattro bug Critical, mentre CVE-2026-87628 colpisce Cast; V8, ANGLE, WebAuthn, DevTools e PDFium ricevono ulteriori fix High.
• Google ha già avviato Chrome 154 Early Stable, mentre ChromeOS separa Stable, LTS-144 e il nuovo LTC-150 per gli ambienti gestiti.

Google Chrome 153 arriva sul canale stabile con uno degli aggiornamenti di sicurezza più corposi dell’anno: 230 correzioni, cinque delle quali associate a vulnerabilità classificate Critical, concentrate soprattutto nello stack grafico WebGL. Il rilascio riguarda Windows, macOS e Linux e viene replicato su Android con la stessa base di sicurezza. Ma il dato più interessante è la velocità del ciclo: appena un giorno dopo la promozione di Chrome 153, Google ha già iniziato a distribuire Chrome 154 in Early Stable a una quota limitata di utenti. Parallelamente ChromeOS continua a seguire una cadenza separata, con Stable, LTS e LTC su versioni differenti ma progressivamente riallineate attraverso le patch.

Chrome 153 porta 230 correzioni e concentra i bug Critical su WebGL

La release Stable di Chrome 153 pubblicata da Google porta il browser alla versione 153.0.8010.36 su Linux e 153.0.8010.36/.37 su Windows e macOS. Google dichiara complessivamente 230 security fix, un numero che comprende sia vulnerabilità attribuite a CVE sia correzioni individuate internamente e interventi per i quali i dettagli resteranno temporaneamente limitati fino alla diffusione dell’aggiornamento. La parte più critica riguarda WebGL, che da solo raccoglie quattro vulnerabilità Critical: CVE-2026-87464 e CVE-2026-87488, entrambe use-after-free, CVE-2026-87438, un out-of-bounds write, e CVE-2026-87527, un buffer overflow. A queste si aggiunge CVE-2026-87628, use-after-free nel componente Cast. La concentrazione nello stack grafico rende l’aggiornamento particolarmente rilevante perché WebGL espone al browser una superficie complessa che interagisce con driver, GPU e contenuti Web controllabili da remoto. Il rilascio arriva inoltre pochi giorni dopo il settimo zero-day Chrome del 2026, corretto con CVE-2026-87491, confermando un mese di settembre nel quale il ciclo di aggiornamento del browser è diventato anche un ciclo di risposta continua alle vulnerabilità.

V8, ANGLE, WebAuthn e DevTools allargano la superficie corretta

Le vulnerabilità Critical costituiscono soltanto una parte dell’aggiornamento. Chrome 153 corregge numerosi problemi High in componenti che coprono quasi l’intera architettura del browser. ANGLE, lo strato utilizzato per tradurre le API grafiche su backend differenti, riceve correzioni per use-after-free, out-of-bounds read e write, buffer overflow e validazione errata degli indici. V8 corregge più use-after-free e type confusion, mentre PDFium, DevTools, Payments, Network, GPU, Web Packaging e Web Authentication compaiono tra gli altri componenti interessati. Tra i fix High compare anche CVE-2026-87639, un use-after-free in WebPackaging segnalato da OpenAI Codex Security, elemento che conferma l’ingresso crescente degli strumenti AI anche nella ricerca automatizzata delle vulnerabilità. Non significa che il browser sia diventato improvvisamente meno sicuro: un numero elevato di fix in una major release riflette anche il consolidamento di problemi scoperti durante l’intero ciclo di sviluppo. Per gli amministratori, però, il significato operativo resta semplice: Chrome 153 non è un aggiornamento funzionale da rimandare, perché sostituisce una build esposta a una quantità consistente di bug di memory safety e autorizzazione.

Leggi anche: Chrome 152 aveva già riallineato desktop, mobile e ChromeOS tra Stable, Beta e LTS

Android riceve la stessa base di sicurezza di Chrome 153 desktop

La versione Chrome 153 per Android viene distribuita come 153.0.8010.36 e, salvo eccezioni indicate da Google, incorpora le stesse correzioni di sicurezza della corrispondente release desktop. La convergenza è importante perché molte vulnerabilità di Chromium interessano componenti condivisi e non dipendono dal sistema operativo utilizzato. Il rilascio Android aggiunge gli abituali interventi di stabilità e prestazioni, ma sul piano operativo il vero motivo per aggiornare resta la quantità di fix confluiti nella major release. La rapidità del ciclo emerge però già il giorno successivo. Il 9 settembre Google ha iniziato a distribuire Chrome 154.0.8037.21 per Android a una piccola percentuale di utenti nell’ambito dell’Early Stable, mentre Windows ha ricevuto 154.0.8037.17/.18 con macOS previsto subito dopo. La distribuzione Early Stable di Chrome 154 non rappresenta ancora la promozione globale del ramo 154: serve a esporre la build a una popolazione limitata prima dell’espansione generale. È una distinzione importante perché il numero di versione più alto non significa che tutti gli utenti Stable debbano già aspettarsi Chrome 154.

Stable, Extended Stable e Dev mostrano tre Chrome differenti nello stesso momento

A settembre la frammentazione dei canali è particolarmente evidente. Mentre la maggioranza degli utenti passa a Chrome 153, una piccola quota riceve già Chrome 154 Early Stable e gli sviluppatori possono utilizzare Chrome 155.0.8048.0 sul canale Dev per Windows, macOS, Linux e Android. Parallelamente, il canale Extended Stable resta sul ramo 152 ed è stato aggiornato alla build 152.0.7977.120 su Windows e macOS. Questa sovrapposizione non è un’anomalia ma la conseguenza del modello di rilascio Chrome. Stable privilegia l’aggiornamento rapido, Early Stable espone la generazione successiva a un campione ristretto, Extended Stable mantiene più a lungo una major per ridurre la frequenza dei cambiamenti negli ambienti aziendali e Beta/Dev anticipano le release future. Per le imprese significa che la domanda corretta non è semplicemente “qual è l’ultima versione di Chrome?”, ma quale canale è stato assegnato ai dispositivi e quale build corretta deve trovarsi su quel canale. Una macchina Extended Stable ferma a Chrome 152 non è automaticamente obsoleta se riceve le patch previste per quel ramo.

ChromeOS Stable resta su Chromium 152 mentre LTS corregge due falle Critical

La separazione diventa ancora più marcata su ChromeOS. Il canale Stable del sistema operativo è passato alla versione 16765.41.0, basata sul browser 152.0.7977.113, mentre il ramo Long Term Support segue ancora Chrome 144. La nuova build LTS-144 di ChromeOS porta la piattaforma alla versione 16503.95.0 e incorpora una selezione di patch di sicurezza già maturate sui rami più recenti. Tra queste compaiono proprio due vulnerabilità Critical presenti anche nel ciclo Chrome corrente: CVE-2026-87628, use-after-free in Cast, e CVE-2026-87527, buffer overflow in WebGL. Il ramo LTS riceve inoltre correzioni High per ReadAloud, DataTransfer, GPU, SVG e integer overflow nella GPU. È la dimostrazione pratica della funzione del canale a lungo supporto: il numero di versione del browser rimane molto più vecchio, ma le correzioni di sicurezza selezionate vengono retroportate senza imporre agli ambienti gestiti ogni cambiamento introdotto dalle major successive.

LTC 150 prepara il prossimo salto degli ambienti ChromeOS gestiti

Accanto a LTS-144 Google ha aggiornato anche il Long-term Support Candidate, portando LTC-150 alla build 150.0.7871.253 con piattaforma 16700.63.0. La release LTC-150 dell’11 settembre corregge otto vulnerabilità evidenziate da Google, tutte classificate High o Medium, tra cui use-after-free in Script, Browser e WebRTC, problemi di autorizzazione nelle Extensions, information leak nella GPU e un out-of-bounds write in Crashpad. La distinzione temporale è importante: LTS rimarrà sul ramo 144 fino al 6 ottobre 2026, mentre LTC permette alle organizzazioni di testare anticipatamente il ramo destinato a diventare la prossima base a lungo supporto. Chi gestisce flotte Chromebook può quindi verificare applicazioni, policy e compatibilità prima del cambio LTS, senza attendere il giorno della promozione.

Continua con:

• Chrome 151 aveva corretto una falla Critical mentre 152 e 153 avanzavano sui canali Beta e Dev
• Chrome ed Edge sono diventati anche obiettivi di persistenza post-compromissione con PEEP

Il problema non è inseguire il numero più alto ma sapere quale ramo deve essere corretto

La fotografia di settembre mostra contemporaneamente Chrome 152, 153, 154 e 155 in uso legittimo su canali differenti. Per gli utenti consumer conta soprattutto verificare che Stable sia aggiornato e lasciare che il rollout raggiunga progressivamente il dispositivo. Per le imprese il problema è più complesso: Extended Stable e ChromeOS LTS introducono volutamente un ritardo sulle major, quindi la sicurezza dipende dalla puntualità delle patch retroportate e non dall’avere necessariamente il numero di versione più elevato. Chrome 153 resta comunque il rilascio centrale del ciclo: 230 correzioni di sicurezza e cinque vulnerabilità Critical rendono l’aggiornamento prioritario per i sistemi sul canale Stable. Il fatto che Chrome 154 sia già entrato nell’Early Stable appena ventiquattro ore dopo non riduce questa urgenza. Mostra piuttosto quanto sia diventata continua la manutenzione di un browser che, tra WebGL, V8, GPU, autenticazione, rete ed estensioni, costituisce ormai una delle superfici software più complesse esposte quotidianamente a contenuti non fidati.