Chrome 155 chiude 37 falle, ChromeOS e iOS corrono già sulla 156

🛡️ Executive Summary

• Chrome 155.0.8059.79/.80 corregge 37 vulnerabilità su Windows, macOS e Linux, comprese falle Critical in ANGLE e nel componente Browser.
• Android passa alla stessa build 155.0.8059.79 e Google conferma che eredita le correzioni di sicurezza della corrispondente release desktop, salvo eccezioni.
• Extended Stable resta sulla serie 152 con 28 fix, mentre ChromeOS Beta e Chrome per iOS sono già sul ramo 156, mostrando una gestione sempre più separata dei canali.

Google aggiorna simultaneamente quasi tutta la propria superficie Chrome, ma non con una singola versione. Il canale Stable desktop resta sulla serie Chrome 155 e riceve 37 correzioni di sicurezza; Android segue con la stessa build principale e condivide le fix del desktop; Extended Stable rimane invece sul ramo 152 e incorpora 28 patch, mentre ChromeOS Beta e Chrome per iOS sono già sulla generazione 156. Il risultato è una fotografia precisa del modello operativo scelto da Google: il browser non viene più distribuito come una linea uniforme, ma attraverso canali e piattaforme che avanzano a velocità differenti mantenendo comunque il patching di sicurezza. È lo stesso schema già emerso con Chrome 155, che a inizio ottobre aveva corretto 247 vulnerabilità attraverso Stable, Extended Stable, Android e ChromeOS, ma il nuovo ciclo mostra ancora meglio quanto numero di versione, canale e sistema operativo siano diventati elementi distinti della gestione del rischio.

Chrome 155 desktop corregge 37 vulnerabilità e due Critical emergono subito

La Stable Channel Update for Desktop porta Chrome alla versione 155.0.8059.79/.80 su Windows e macOS e alla 155.0.8059.79 su Linux, con distribuzione progressiva nell’arco di giorni e settimane. Google attribuisce al pacchetto 37 correzioni di sicurezza e mantiene ancora limitato l’accesso a diversi dettagli tecnici finché una quota sufficiente di utenti non avrà ricevuto l’aggiornamento. Tra le vulnerabilità già identificate spiccano CVE-2026-110152, buffer overflow in ANGLE classificato Critical, e CVE-2026-110149, use-after-free nel componente Browser, anch’essa Critical. Google non indica nel bollettino sfruttamento attivo per queste vulnerabilità, quindi non esistono elementi per presentarle come zero-day già utilizzati in attacchi reali. Il dato operativo resta comunque importante perché ANGLE si colloca nello stack grafico del browser, una superficie che negli ultimi mesi ha già concentrato numerose vulnerabilità ad alta gravità. Il precedente Chrome 154 aveva corretto 108 problemi di sicurezza, confermando un ritmo di manutenzione nel quale il browser richiede aggiornamenti molto più frequenti rispetto al tradizionale ciclo mensile del sistema operativo.

Leggi anche: Chrome corregge il settimo zero-day del 2026

Android eredita direttamente le correzioni del desktop

La release Chrome 155 per Android porta il browser mobile alla 155.0.8059.79 e Google specifica esplicitamente che le release Android incorporano le stesse correzioni di sicurezza delle corrispondenti versioni desktop, salvo diversa indicazione. Questo significa che il pacchetto distribuito progressivamente attraverso Google Play porta sul ramo mobile il medesimo baseline di sicurezza della Stable pubblicata per Windows, macOS e Linux. Il changelog Android parla anche di miglioramenti a stabilità e prestazioni, senza introdurre un elenco separato di CVE. La distinzione è importante perché a inizio ottobre Chrome 155 aveva già portato sul mobile le 247 correzioni della prima Stable: la nuova build non rappresenta quindi un nuovo major update, ma un secondo passaggio di hardening all’interno dello stesso ramo 155.

Extended Stable resta sulla 152 ma riceve altre 28 patch

Le aziende che utilizzano il canale conservativo non vengono spinte sul ramo 155. La Extended Stable Update for Desktop porta Windows e macOS alla versione 152.0.7977.167 e incorpora 28 correzioni di sicurezza. Google elenca in testa al bollettino almeno cinque vulnerabilità Critical: CVE-2026-106347, CVE-2026-106358, CVE-2026-110136, CVE-2026-110148 e CVE-2026-110161. Il dato mostra la funzione reale dell’Extended Stable: rallentare l’adozione delle nuove funzionalità senza congelare la sicurezza. Una flotta aziendale può quindi restare su un ramo funzionalmente più vecchio ma continuare a ricevere backport delle correzioni necessarie. È il compromesso già osservato quando Chrome 153 aveva convissuto con Chrome 154 Early Stable e con differenti rami LTS di ChromeOS: stabilità operativa e velocità del patching vengono ormai gestite come due variabili separate.

ChromeOS Beta anticipa Chrome 156

Il Beta Channel Update per ChromeOS e ChromeOS Flex porta la piattaforma alla versione 16836.15.0 con browser 156.0.8078.31 sulla maggior parte dei dispositivi. Google non associa al post un elenco di vulnerabilità né descrive nuove funzioni specifiche: il messaggio serve soprattutto a fissare la nuova baseline del canale Beta e a raccogliere segnalazioni prima della promozione successiva. Il dato più rilevante è quindi temporale. Mentre il desktop Stable e Android stanno ancora consolidando Chrome 155 e il canale Extended Stable mantiene la 152, ChromeOS sta già validando il browser 156 sul proprio sistema operativo. La differenza non indica disallineamento accidentale, ma il funzionamento stesso del modello multicanale che Matrice Digitale aveva già osservato nell’evoluzione di ChromeOS tra Stable, LTS, Beta e nuovi dispositivi Google.

iOS passa direttamente a Chrome 156

Anche il ramo Apple anticipa numericamente il desktop principale. La Chrome Stable for iOS Update porta il browser alla versione 156.0.8078.33, distribuita attraverso App Store. Google indica soltanto miglioramenti a stabilità e prestazioni e non afferma che questa build condivida il medesimo pacchetto di 37 correzioni annunciato per Chrome 155 desktop. La distinzione deve quindi essere mantenuta: non è corretto trasferire automaticamente l’elenco CVE del ramo desktop alla versione iOS in assenza di una dichiarazione del vendor. È un ulteriore esempio del motivo per cui il numero commerciale “Chrome” non è sufficiente per determinare lo stato di sicurezza di un dispositivo: piattaforma, versione effettiva e canale devono essere letti insieme.

Continua con:
Chrome 155 corregge 247 falle mentre Firefox rilancia la sicurezza
Chrome 153 chiude 230 falle e Chrome 154 entra nell’Early Stable

Il browser ormai si gestisce per canale, non soltanto per versione

I cinque aggiornamenti pubblicati da Google nello stesso ciclo chiariscono perché nelle reti aziendali il controllo della versione del browser debba diventare più granulare. Windows, macOS e Linux Stable sono sulla 155, Android condivide quella baseline di sicurezza, Extended Stable resta sulla 152, ChromeOS Beta testa la 156 e iOS distribuisce già una Stable 156. Non esiste quindi una singola risposta alla domanda “qual è l’ultima versione di Chrome?” senza specificare piattaforma e canale. Per gli amministratori questo significa inventariare non soltanto il browser installato, ma anche la policy di aggiornamento applicata alle diverse flotte, verificando che i dispositivi conservativi ricevano comunque i backport di sicurezza e che quelli sul canale Stable non restino bloccati su build precedenti. Google ha trasformato il patch management del browser in una pipeline continua: le funzionalità possono avanzare con velocità differenti, ma le correzioni devono raggiungere ogni ramo ancora supportato prima che la distanza tra stabilità e sicurezza diventi un’esposizione permanente.