Scommetto che la vostra prima reazione, leggendo questo titolo, sia stata un rassegnato sospiro mentre cercavate di ignorare quel minuscolo punto esclamativo rosso sulla scheda del browser. Purtroppo, questa volta non è il solito avviso di aggiornamento per correggere un bug che cambia solo il colore delle icone: abbiamo una RCE (Remote Code Execution) in pieno corso.
Il problema riguarda il motore Chromium, il gigante che regge quasi tutto il web moderno. La falla, identificata come CVE-2026-85046, colpisce proprio la sandbox, quella barriera protettiva che dovrebbe impedire a un sito web malintenzionato di uscire dal recinto del browser e andare a fare danni sul vostro sistema operativo. In pratica, gli hacker hanno trovato un modo per saltare il recinto e far eseguire codice arbitrario sulla vostra macchina. È un po’ come se scoprissi che la serratura della tua smart lock ha un bypass che funziona con un semplice spaghetto: un po’ ridicolo, ma decisamente pericoloso.
La cosa che fa bollire il sangue non è solo la presenza del bug, ma il fatto che sia ‘actively exploited’. Non stiamo parlando di una vulnerabilità teorica scoperta da un ricercatore etico che dorme tranquillo; qui c’è gente che la sta usando nell’immediato per colpire i sistemi. E la portata è totale: tutte le versioni di Chromium sono vulnerabili. Se usi Chrome, Brave, Edge o qualunque altro browser basato su questo motore, sei nel mirino.
Per noi che amiamo smontare le cose per capire come funzionano, questa è la solita dimostrazione di quanto sia fragile l’ecosistema quando tutto si basa su un unico, enorme monolite di codice. Certamente, lo sviluppo di Chromium è un’impresa titanica, ma dipendere tutti da un unico motore crea un single point of failure che è un incubo per la sicurezza globale.
Non serve che io vi faccia una lezione di geopolitica digitale: anche se la notizia arriva dai feed americani, il rischio è globale e immediato. Se state navigando da un ufficio a Milano o da un laboratorio a Berlino, il payload non fa distinzioni.
Quindi, niente scuse e niente ‘lo faccio domani’. Fate l’aggiornamento. Ora. Chiudete quel browser, lanciate l’update e riavviate tutto. E se siete tra quelli che usano versioni custom o motori alternativi, date un’occhiata ai log e assicuratevi che le vostre sandbox non siano diventate dei semplice suggerimenti di cortesia per i malware.
Source: Actively exploited sandbox RCE in all Chromium versions