Chrome 156 corregge 353 falle, Chrome 157 arriva già su Windows

🛡️ Executive Summary

• Chrome 156 arriva nel canale Stable con 353 correzioni di sicurezza, comprese sei vulnerabilità Critical che interessano Skia, Accessibility, CSS, Paint e WebRTC.
• ChromeOS 156 corregge vulnerabilità nel browser e nei componenti di sistema, inclusi problemi nel driver GPU Mali, in ARC Keymaster e nella gestione della fiducia TLS.
• Chrome 157 è già disponibile nei canali Beta ed Early Stable, ma la distribuzione anticipata riguarda soltanto una percentuale limitata degli utenti Windows e non equivale al rilascio stabile generale.

Google ha avviato la distribuzione di Chrome 156 su Windows, macOS, Linux, Android, iOS e ChromeOS, accompagnando il nuovo ciclo del browser con un aggiornamento di sicurezza particolarmente esteso. Il bollettino desktop del 20 ottobre 2026 dichiara 353 correzioni, fra cui vulnerabilità critiche nella gestione della memoria e nei componenti utilizzati per elaborare contenuti web. Parallelamente, Chrome 157 è entrato nel canale Beta e ha raggiunto una prima distribuzione Early Stable per un gruppo ristretto di utenti Windows, mentre ChromeOS avanza con release differenziate nei canali Stable, Beta e Dev. La sequenza dei dodici bollettini pubblicati da Google evidenzia un aspetto determinante: la numerazione più alta non identifica necessariamente la versione stabile disponibile per tutti, rendendo indispensabile distinguere la disponibilità delle patch dalla fase di distribuzione del software.

Chrome 156 corregge 353 vulnerabilità e sei falle Critical su desktop

Il 20 ottobre 2026 Google ha promosso Chrome 156 nel canale Stable per Windows, macOS e Linux, avviando una distribuzione progressiva delle versioni 156.0.8078.47 e 156.0.8078.48 su Windows e macOS e 156.0.8078.47 su Linux. Nel bollettino ufficiale Stable Channel Update for Desktop il produttore dichiara 353 security fixes, un numero che rappresenta l’insieme delle correzioni incluse nella release e non deve essere automaticamente interpretato come altrettante vulnerabilità già sfruttate. Fra le segnalazioni classificate Critical compaiono CVE-2026-113341, corruzione della memoria nel motore grafico Skia; CVE-2026-113279, corruzione della memoria nel componente Accessibility; CVE-2026-113072, corruzione della memoria nell’elaborazione CSS; CVE-2026-113280, corruzione della memoria nel sistema Paint; CVE-2026-113271, use-after-free in Accessibility; e CVE-2026-113303, corruzione della memoria in WebRTC. L’elenco comprende inoltre numerose vulnerabilità High che coinvolgono V8, ANGLE, WebUI, WebRTC, FileSystem, SiteIsolation, PDF e gestione delle password, confermando l’estensione della superficie di attacco di un browser moderno.

Un elemento significativo riguarda l’attribuzione di alcune scoperte: CVE-2026-113303 è stata segnalata da OpenAI Codex Security, mentre CVE-2026-113271 è attribuita a Xinyang Ge di Anthropic con l’assistenza di Claude. Google indica espressamente la partecipazione di questi strumenti alla ricerca delle vulnerabilità, senza affermare che tutte le 353 correzioni siano state individuate attraverso modelli di intelligenza artificiale. Il dato completa il quadro già emerso con Chrome 155, che aveva introdotto 247 correzioni di sicurezza, ma sottolinea anche la necessità di mantenere un inventario aggiornato delle versioni distribuite: i rilasci ravvicinati possono lasciare installazioni vulnerabili anche quando gli utenti ritengono di avere aggiornato recentemente il browser.

Leggi anche: Chrome 154 corregge 108 falle e porta HTTPS predefinito nel nuovo ciclo

ChromeOS 156 interviene su GPU Mali, ARC Keymaster e certificati TLS

L’aggiornamento di ChromeOS presenta un perimetro differente rispetto al solo browser. Il 20 ottobre Google ha distribuito ChromeOS M-156, versione 16836.19.0, con browser integrato 156.0.8078.42, destinato ai dispositivi del canale Stable. Il bollettino ufficiale ChromeOS Stable comprende correzioni delle vulnerabilità del browser e interventi dedicati ai componenti del sistema operativo. Fra quelli classificati High figurano una condizione di accesso oltre i limiti nel componente ARC Keymaster, potenzialmente capace di indebolire la separazione tra ambiente Android virtualizzato e host, un double-free nel driver Mali durante la gestione di dma_buf_attachment e una vulnerabilità use-after-free nella migrazione delle pagine di memoria GPU sui dispositivi basati su MediaTek MT8196. Google segnala inoltre un problema relativo alla gestione dei certificati di autorità di certificazione terze parti compromesse, classificato Medium per l’impatto potenziale sulle comunicazioni TLS.

Queste correzioni devono essere distinte dalle CVE del browser, perché interessano il confine tra processi applicativi, servizi virtualizzati e kernel. Un difetto nel motore V8 o nell’elaborazione PDF può essere raggiunto attraverso contenuti web, mentre un problema nel driver GPU o nei componenti utilizzati per eseguire applicazioni Android può coinvolgere percorsi di esecuzione e autorizzazioni differenti. Il bollettino elenca inoltre vulnerabilità Critical già associate al codice Chromium, fra cui CVE-2026-106347 in Track e CVE-2026-110148 in SVG. Non vengono fornite, per queste specifiche correzioni, conferme generalizzate di sfruttamento attivo. Per gli amministratori dei Chromebook e dei dispositivi ChromeOS Flex, il controllo della versione del sistema assume quindi la stessa importanza della verifica del browser, proseguendo gli interventi descritti con i precedenti aggiornamenti ChromeOS del canale LTS.

Chrome 156 arriva su Android e iOS con versioni e aggiornamenti distinti

Sul versante mobile, Google ha annunciato Chrome 156.0.8078.47 per Android il 20 ottobre, con distribuzione progressiva attraverso Google Play. Il bollettino ufficiale Android indica miglioramenti di stabilità e prestazioni e precisa che la release incorpora le stesse correzioni di sicurezza delle corrispondenti versioni desktop, salvo eccezioni specificamente comunicate. Il calendario di aggiornamento viene quindi coordinato con quello di Windows, macOS e Linux, pur mantenendo build e procedure di distribuzione differenti. Google ha pubblicato anche un ulteriore avviso per Chrome su Android, ma il contenuto dettagliato di questa comunicazione non è risultato direttamente verificabile durante la consultazione: non è quindi possibile attribuirle ulteriori correzioni o un numero di versione specifico senza conferma.

Per iPhone e iPad, Chrome 156 ha ricevuto due aggiornamenti ravvicinati: 156.0.8078.46 il 20 ottobre e 156.0.8078.54 il 23 ottobre, entrambi distribuiti attraverso App Store. Le note del primo rilascio iOS e il successivo aggiornamento del 23 ottobre descrivono miglioramenti di stabilità e prestazioni senza pubblicare un elenco autonomo di CVE corrette. Non è corretto attribuire automaticamente alla versione iOS tutte le vulnerabilità Chromium corrette su desktop, perché il browser utilizza componenti di piattaforma e un’architettura di esecuzione differenti rispetto alle versioni basate direttamente sul motore Chromium. La successione dei rilasci conferma il coordinamento delle versioni commerciali, ma non dimostra una perfetta corrispondenza tra le patch applicate ai diversi sistemi operativi.

Chrome 157 entra in Beta e raggiunge una prima distribuzione Early Stable

Mentre Chrome 156 raggiunge gli utenti del canale stabile, Google ha già avviato la distribuzione anticipata della versione successiva. Il 22 ottobre il bollettino Early Stable per desktop ha annunciato Chrome 157.0.8103.15 e 157.0.8103.16 per Windows, limitando l’aggiornamento a una percentuale ridotta degli utenti. Google ha precisato che il corrispondente aggiornamento per macOS sarebbe arrivato successivamente, mentre Linux non compare fra le piattaforme interessate da questa specifica distribuzione anticipata. Early Stable non significa che Chrome 157 sia già disponibile universalmente nel canale Stable: la funzione del rilascio è verificare una nuova versione su una popolazione limitata prima dell’estensione della distribuzione.

Nello stesso giorno Google ha pubblicato Chrome Beta 157.0.8103.15 per Windows, macOS e Linux, come confermato dalle note ufficiali del canale Beta desktop. Sul fronte mobile, Chrome Beta 157.0.8103.14 per Android è stato reso disponibile su Google Play, mentre Chrome Beta 157.0.8103.13 per iOS ha avviato la distribuzione attraverso App Store. Le comunicazioni Android Beta e iOS Beta rimandano ai rispettivi registri delle modifiche senza associare alla release una lista autonoma di vulnerabilità. L’evoluzione prosegue quindi il ciclo di aggiornamento Chrome 155 e 156 già analizzato a inizio ottobre, caratterizzato da una progressiva sovrapposizione fra versioni stabili e versioni sottoposte a test.

ChromeOS 157 avanza nei canali Beta e Dev senza sostituire la Stable

Anche ChromeOS e ChromeOS Flex seguono lo stesso percorso, con build distinte per ciascun canale. Il 21 ottobre Google ha annunciato ChromeOS Dev 16852.6.0, comprendente il browser 157.0.8103.7, mentre il giorno successivo ha distribuito ChromeOS Beta 16852.10.0, con browser 157.0.8103.11. Le note del canale Dev e del canale Beta non descrivono nuove funzionalità specifiche né un elenco completo delle modifiche di sicurezza, limitandosi a indicare le versioni e i canali aggiornati. Il salto alla famiglia 157 non deve quindi essere interpretato come l’introduzione già confermata di nuove capacità del sistema operativo.

La distinzione ha conseguenze pratiche per le organizzazioni che amministrano flotte di Chromebook: Stable, Beta e Dev hanno finalità differenti, e l’utilizzo della versione numericamente più avanzata non garantisce automaticamente maggiore affidabilità. La Stable rimane il canale appropriato per le postazioni operative ordinarie, mentre Beta e Dev permettono di verificare compatibilità e regressioni prima della distribuzione generale. Questo principio è particolarmente importante per i sistemi che utilizzano applicazioni web aziendali, autenticazione federata, periferiche specifiche o strumenti gestiti centralmente. L’evoluzione degli aggiornamenti, già osservata quando ChromeOS 152 e Chrome 156 avanzavano in canali differenti, mostra come Google mantenga diversi cicli di sviluppo contemporaneamente, richiedendo agli amministratori una verifica puntuale del numero di build e non soltanto della versione principale.

Continua con:

Chrome 153 corregge 16 falle con due Critical, Chrome 156 entra nel canale Dev

Chrome 153 corregge 230 falle, Chrome 154 entra già nell’Early Stable

La priorità resta aggiornare Chrome 156 senza confondere i canali

Il ciclo di ottobre mostra una strategia di distribuzione nella quale Google separa sempre più nettamente il rilascio delle correzioni dalla sperimentazione delle versioni successive. Chrome 156 rappresenta l’aggiornamento stabile da installare sui sistemi compatibili, soprattutto per la quantità di vulnerabilità corrette e per la presenza di problemi Critical che interessano elaborazione grafica, accessibilità e comunicazioni WebRTC. ChromeOS richiede una verifica aggiuntiva dei componenti di sistema, mentre Android e iOS seguono i rispettivi canali di distribuzione mobile. Chrome 157 deve invece essere considerato un aggiornamento anticipato o sperimentale finché non sarà disponibile la distribuzione stabile generale per ciascuna piattaforma. Per gli amministratori aziendali, la misura più efficace consiste nel verificare la versione effettivamente installata, completare il riavvio del browser quando richiesto e mantenere politiche di aggiornamento compatibili con i tempi di distribuzione del produttore. La pubblicazione di centinaia di correzioni non dimostra che tutte siano sfruttate attivamente, ma conferma che il browser resta una delle superfici software più estese e frequentemente modificate dell’intero sistema operativo, con dipendenze che collegano motori JavaScript, rendering, multimedia, autenticazione e sicurezza del dispositivo.