Chrome 154 corregge 108 falle e porta HTTPS predefinito nel nuovo ciclo bisettimanale

🛡️ Executive Summary

• Chrome 154 raggiunge il canale Stable desktop con 108 correzioni di sicurezza e undici vulnerabilità classificate Critical.
• ANGLE, WebGL, GPU, ServiceWorker e Fullscreen concentrano le falle più gravi della nuova major release.
• Android passa a Chrome 154, Extended Stable resta su 152 e iOS riceve la build 154.0.8037.55.

Google Chrome 154 entra nel canale Stable il 22 settembre 2026 e inaugura concretamente la nuova velocità di rilascio del browser: appena due settimane dopo Chrome 153, Google distribuisce una nuova major con 108 correzioni di sicurezza, undici delle quali classificate Critical. Le build sono 154.0.8037.57/.58 per Windows e macOS e 154.0.8037.57 per Linux. Nello stesso ciclo Chrome 154 raggiunge Android e iOS, mentre gli ambienti aziendali che utilizzano Extended Stable restano intenzionalmente sulla linea 152 con una nuova build correttiva.

Chrome 154 concentra undici falle Critical tra grafica, GPU e ServiceWorker

Il dato dominante della nuova release è la quantità di problemi corretti. Tra le vulnerabilità Critical pubblicate da Google compaiono CVE-2026-95350, buffer overflow in ANGLE; CVE-2026-95357 e CVE-2026-95322, out-of-bounds write nella GPU; CVE-2026-95339, use-after-free nei ServiceWorker; CVE-2026-95281 e CVE-2026-95284, ancora buffer overflow in ANGLE. Lo stack grafico continua a pesare con CVE-2026-95349 e CVE-2026-95329 in WebGL, accompagnate da use-after-free nei componenti Fullscreen, WindowDialog e AdFilter. Il quadro prosegue una tendenza già evidente nella generazione precedente. Chrome 153 aveva corretto 230 problemi con cinque falle Critical, molte delle quali ancora concentrate su WebGL e componenti grafici. Il passaggio a Chrome 154 non interrompe quindi quella superficie: GPU, ANGLE e WebGL rimangono componenti ad alta complessità, dove parsing, gestione della memoria e interazione con driver e accelerazione hardware moltiplicano le possibilità di memory corruption.

Leggi anche: Chrome 153 corregge 16 falle con due Critical, Chrome 156 entra nel canale Dev

Chrome 154 arriva anche su Android e iOS

Su Android, Google distribuisce Chrome 154.0.8037.57 attraverso Google Play. Il vendor specifica che la build incorpora, salvo eccezioni dichiarate, le stesse correzioni di sicurezza della release desktop corrispondente. L’aggiornamento aggiunge inoltre i consueti interventi di stabilità e prestazioni, ma dal punto di vista operativo il passaggio di major è soprattutto un riallineamento della base di sicurezza con il ramo 154 desktop. Su iOS arriva invece Chrome Stable 154.0.8037.55, distribuito attraverso App Store. Il numero di build è differente perché Chrome su iPhone e iPad segue l’architettura imposta dalla piattaforma Apple e non utilizza lo stesso motore Chromium desktop. Google descrive l’aggiornamento come release di stabilità e prestazioni, senza associare al post i 108 fix Chromium elencati per Windows, macOS e Linux. Il precedente passaggio simultaneo di Chrome 152 su desktop, Android e iOS aveva già mostrato perché le numerazioni non debbano essere interpretate come equivalenza perfetta tra piattaforme.

Extended Stable resta su Chrome 152 per ridurre il ritmo degli upgrade

La sovrapposizione più interessante riguarda gli ambienti enterprise. Mentre Stable passa a Chrome 154, Extended Stable viene aggiornato alla versione 152.0.7977.140 su Windows e macOS. Non è un ramo dimenticato o vulnerabile per definizione: Google mantiene deliberatamente una major più vecchia per le organizzazioni che preferiscono ridurre la frequenza delle variazioni funzionali continuando a ricevere aggiornamenti previsti per quel canale. La distinzione diventa ancora più importante da settembre, perché Google ha portato Chrome Stable a un ciclo di rilascio ogni due settimane. La documentazione enterprise indica Extended Stable come alternativa per le aziende sensibili ai costi di manutenzione, pur precisando che il ramo Stable bisettimanale rimane la scelta più rapida quando la priorità principale è ricevere immediatamente modifiche e fix.

Continua con:

Chrome 153 corregge 230 falle, Chrome 154 entra già nell’Early Stable

Chrome corregge il settimo zero-day del 2026 mentre ShieldCrash riapre Microsoft Defender

HTTPS diventa più aggressivo proprio mentre Chrome accelera le release

Chrome 154 introduce inoltre un cambiamento strutturale per la navigazione: la modalità Always use secure connections viene abilitata di default per i siti pubblici, con richiesta di conferma prima del primo accesso a una destinazione HTTP non sicura. Restano esclusi dalla definizione di sito pubblico gli indirizzi locali RFC 1918 e gli hostname interni brevi, così da non rompere automaticamente apparati e applicazioni intranet che utilizzano ancora HTTP. Gli amministratori possono intervenire attraverso le policy HttpAllowlist e HttpsOnlyMode. È un cambiamento più significativo del semplice incremento di versione perché unisce due strategie: ridurre la finestra temporale delle vulnerabilità con release più frequenti e restringere contemporaneamente le condizioni nelle quali Chrome accetta connessioni web non cifrate. Per utenti e amministratori, però, il primo controllo resta immediato: verificare che Stable sia effettivamente arrivato alla build prevista per la propria piattaforma e non confondere Stable, Extended Stable e iOS soltanto perché condividono il numero 154. In un browser che ora cambia major ogni due settimane, il canale assegnato al dispositivo conta quasi quanto il numero di versione mostrato nell’interfaccia.