Alessandro FerrariIl 12 novembre 2026 il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), ha pubblicato l'alert AL05/261112/CSIRT-ITA: Google ha rilasciato un aggiornamento di Chrome che corregge 83 nuove vulnerabilità, 5 di gravità "critica" e 78 di gravità "alta". Chi usa il browser su Windows, Mac o Linux deve aggiornarlo oggi stesso.
Cosa dice l'avviso dell'ACN
L'alert indica come versioni affette tutte quelle precedenti alla 157.0.8103.78/.79 per Windows e Mac e precedenti alla 157.0.8103.78 per Linux. Chi ha una versione più vecchia di questi numeri di build usa un browser con falle note e pubbliche.
Il CSIRT Italia elenca anche le tipologie di vulnerabilità coinvolte: esecuzione di codice arbitrario, scrittura arbitraria di file, divulgazione di informazioni, aggiramento delle restrizioni di sicurezza, manipolazione dei dati e spoofing. L'azione di mitigazione è una sola: in linea con le dichiarazioni di Google, l'agenzia raccomanda di aggiornare il prodotto all'ultima versione disponibile su tutti e tre i sistemi operativi.
L'ACN associa all'alert una tabella con gli 83 identificativi CVE, fino al CVE-2026-126922. La tabella ha due colonne per ogni voce, "POC" ed "exploitation", che servono a segnalare l'esistenza di codice dimostrativo o di sfruttamento in corso. Nelle voci che abbiamo consultato queste colonne risultano vuote, quindi l'agenzia non vi segnala codice dimostrativo né sfruttamento.
Il tema degli attacchi informatici ai piccoli operatori è già al centro dell'attenzione. Lo mostra il caso di Libero Mail sotto attacco nel 2026, dove poche credenziali compromesse bastano ad aprire una catena di problemi, e lo ricordano le dichiarazioni raccolte in Crosetto e gli attacchi informatici alle PMI. Un browser con falle note si aggiunge a quel quadro come un punto d'ingresso in più, e di solito il più facile da chiudere.
Il numero di vulnerabilità corrette in un solo rilascio rende l'avviso diverso da un normale aggiornamento di routine. Cinque falle critiche e settantotto di gravità alta significano che il lavoro di verifica tocca molte parti del programma. Per chi gestisce computer altrui, come un fornitore informatico o un responsabile interno, la priorità è stabilire quante postazioni sono ancora sotto la versione indicata dall'ACN e in quanto tempo si possono portare in regola.
Come controllare in due minuti
Per sapere a che punto è il proprio browser basta aprire il menu di Chrome, scegliere "Guida" e poi "Informazioni su Google Chrome". Il browser cerca l'aggiornamento, lo scarica e chiede il riavvio. Finché il riavvio non avviene, la versione vulnerabile resta in esecuzione, e questo è il passaggio che molti utenti saltano: le schede restano aperte per giorni e l'aggiornamento resta in attesa.
Nelle aziende la situazione è meno lineare. Su un parco macchine gestito, l'aggiornamento di Chrome può dipendere da criteri di gruppo, da strumenti di gestione centralizzata o da pacchetti distribuiti dal reparto informatico. Un browser installato per tutti gli utenti e uno installato nel profilo del singolo utente si aggiornano in modi diversi. Per questo oggi la domanda utile riguarda i computer: su quanti è davvero in uso la versione 157.0.8103.78?
Anche i browser basati su Chromium, come Edge, Brave o Opera, ricevono di norma correzioni derivate da quelle di Chrome in tempi propri. L'alert dell'ACN riguarda Google Chrome e non cita questi prodotti, quindi conviene verificare le note di rilascio di ciascun produttore invece di dare per scontato che siano già a posto.
Perché un browser non aggiornato pesa sulla sicurezza di un'azienda
Il browser è il programma con cui si apre la posta web, il gestionale in cloud, l'home banking e il pannello del sito aziendale. Una falla che consente l'esecuzione di codice arbitrario mette quindi in gioco tutto ciò a cui l'utente ha accesso da quella postazione. Gli utenti entrano in questi servizi con le proprie credenziali, che un browser compromesso può esporre.
Per le piccole e medie imprese il tema è anche organizzativo. La domanda più frequente dei titolari riguarda chi si occupi materialmente degli aggiornamenti: il dipendente più pratico, il fornitore del gestionale o nessuno.
Un consulente informatico lavora proprio su questo punto. Fa l'inventario dei dispositivi, stabilisce chi aggiorna che cosa, imposta l'aggiornamento automatico dove possibile e documenta il tutto. Un elenco di postazioni con la versione del browser, aggiornato ogni settimana, vale più di un antivirus costoso lasciato senza controllo.
Un caso: lo studio con 12 postazioni
Prendiamo uno studio professionale con 12 computer, 9 con Windows e 3 con Mac, tutti con Chrome. Il titolare riceve la notizia dell'alert il 12 novembre e chiede al fornitore informatico di verificare la situazione. Il controllo mostra che 7 postazioni sono già alla 157.0.8103.78, mentre 5 sono rimaste indietro, perché gli utenti non riavviano il browser da oltre una settimana o perché Chrome è installato in una cartella personale.
Se le 5 postazioni indietro restano come sono, lo studio ha il 42% del parco macchine (5 su 12) esposto a vulnerabilità pubblicate dall'ACN. Se invece il fornitore forza l'aggiornamento e il riavvio entro la sera, l'esposizione scende a zero in meno di 24 ore. Ipotizziamo per l'intervento una o due ore di lavoro tecnico.
Il secondo scenario riguarda i dati. Se una di quelle 5 postazioni gestisce documenti dei clienti e il browser viene compromesso, lo studio deve valutare se si è verificata una violazione dei dati personali. In tal caso il Regolamento (UE) 2016/679 (GDPR) prevede, all'articolo 33, la notifica al Garante entro 72 ore dalla scoperta, salvo che la violazione sia improbabile che presenti un rischio per le persone. Un registro delle versioni e degli aggiornamenti aiuta a dimostrare che le misure tecniche richieste dall'articolo 32 erano state adottate.
La differenza tra i due scenari sta nell'avere o meno un responsabile degli aggiornamenti. Nel primo caso lo studio scopre il problema leggendo un avviso. Nel secondo caso ha un elenco delle postazioni e sa in pochi minuti dove intervenire.
Cosa fare oggi
Per un privato i passaggi sono pochi:
- Aprire Chrome, controllare la versione in "Informazioni su Google Chrome" e riavviare il browser quando richiesto.
- Verificare che l'aggiornamento automatico sia attivo anche sul telefono e sul tablet.
- Aggiornare ogni altro browser installato e rimuovere le estensioni che non si usano più.
Per un'azienda o uno studio la lista è più lunga:
- Chiedere al responsabile informatico o al fornitore il numero di postazioni con Chrome inferiore alla versione 157.0.8103.78.
- Fissare una data per il riavvio forzato dei browser, avvisando gli utenti per evitare perdite di lavoro.
- Controllare i computer portatili e quelli usati in smart working, che spesso sfuggono agli strumenti di gestione. Per i telefoni aziendali vale lo stesso controllo.
- Annotare data e versione di ogni verifica, in modo da poterla mostrare a un cliente o a un'autorità.
Con 83 falle corrette in un solo rilascio, ogni postazione rimasta indietro resta vulnerabile finché non viene aggiornata. Aggiornare subito richiede pochi minuti.
Quando chiamare un esperto
Un informatico serve quando i computer sono più di una manciata, quando non si sa chi li ha configurati o quando si trattano dati di terzi. Su ExpertZoom si trovano consulenti informatici che possono fare un inventario delle postazioni, impostare gli aggiornamenti automatici e preparare una procedura scritta per i prossimi avvisi. Per la parte legale della protezione dei dati, un avvocato specializzato in privacy può indicare quali registri tenere e quando notificare una violazione.
Il testo completo dell'avviso, con l'elenco delle 83 vulnerabilità, è consultabile sul sito dell'agenzia: alert AL05/261112/CSIRT-ITA dell'ACN.
