The Pulse
Chrome 156 corregge 52 problemi di sicurezza; sei segnalazioni realizzate con l’aiuto di Claude
L’aggiornamento Chrome 156 di Google include 52 correzioni di sicurezza per Windows, Mac e Linux, tra cui quattro problemi di gravità critica e 46 di gravità alta. Le note di rilascio attribuiscono al ricercatore Xinyang Ge sei segnalazioni
AI.info Team · Scritto con l’IA · verificato ·
Google ha pubblicato gli aggiornamenti di sicurezza di Chrome 156 martedì 27 ottobre, con 52 correzioni per Windows, Mac e Linux. Le note di rilascio attribuiscono al ricercatore Xinyang Ge sei segnalazioni di bug realizzate con l’aiuto di Claude di Anthropic, tra cui due vulnerabilità classificate da Google come critiche. L’aggiornamento porta il numero di versione 156.0.8078.73/.74 su Windows e Mac e 156.0.8078.73 su Linux; Google afferma che sarà distribuito nei prossimi giorni e nelle prossime settimane.
«Questo aggiornamento include 52 correzioni di sicurezza.»
— Srinivas Sista, autore di Chrome Releases, Google Chrome
Srinivas Sista, autore di Chrome Releases indicato come appartenente a Google Chrome, scrive che l’aggiornamento include 52 correzioni di sicurezza. L’avviso raggruppa i problemi segnalati per gravità: quattro critici, 46 di gravità alta e due di gravità media. Per ciascuno indica il componente interessato e, quando disponibili, l’identificativo CVE e il nome di chi lo ha segnalato. Google non fornisce una spiegazione complessiva di come le vulnerabilità potrebbero essere sfruttate.
Due segnalazioni realizzate con l’aiuto di Claude riguardano vulnerabilità critiche
L’avviso di rilascio di Google elenca quattro vulnerabilità critiche. CVE-2026-118306 riguarda la corruzione della memoria in FileSystem e CVE-2026-118331 una convalida impropria dell’input in FileAPI. Google attribuisce entrambe le segnalazioni a Ge, indicato come appartenente ad Anthropic e assistito da Claude.
Anche le altre due segnalazioni critiche provengono da Ge, ma le note di Google non indicano che Claude abbia contribuito a realizzarle. CVE-2026-118348 riguarda una convalida impropria dell’input in Skia, mentre CVE-2026-118344 è un bug use-after-free in Layout. La distinzione è importante: le note di rilascio attribuiscono sei segnalazioni a un lavoro svolto con l’aiuto di Claude, non tutte le vulnerabilità individuate da Ge.
Le 52 correzioni interessano vari componenti del browser
Le note di rilascio elencano correzioni in componenti del browser tra cui FileSystem, V8, Skia, WebRTC, Video, WebAudio e PDFium. Tra i tipi di problemi segnalati figurano anche un controllo degli accessi improprio, la mancata autorizzazione, la scrittura fuori dai limiti della memoria e bug use-after-free, oltre alla corruzione della memoria e alla convalida impropria dell’input. L’avviso non fornisce ulteriori spiegazioni tecniche per queste voci.
Le sei segnalazioni di Ge realizzate con l’aiuto di Claude non si limitano alle due vulnerabilità critiche. Le voci di gravità alta attribuite a Ge con l’aiuto di Claude sono CVE-2026-118339, un bug use-after-free in Animation; CVE-2026-118333, una mancata autorizzazione in Video; CVE-2026-118358, una corruzione della memoria in WebAudio; e CVE-2026-118349, una corruzione della memoria in Payments. Insieme alle segnalazioni critiche relative a FileSystem e FileAPI, sono sei le voci esplicitamente contrassegnate come realizzate con l’aiuto di Claude.
Google attribuisce altre segnalazioni incluse nell’aggiornamento anche ad altri ricercatori esterni, a Mozilla, a OpenAI Codex Security e ai propri team. L’avviso indica quattro problemi di gravità alta segnalati da OpenAI Codex Security: CVE-2026-118350, un bug use-after-free in Turbolev; CVE-2026-118334, un bug use-after-free in ImageCapture; CVE-2026-118313, un bug use-after-free in Video; e CVE-2026-118345, un bug use-after-free in PDFium. Le note di rilascio attribuiscono queste segnalazioni a Codex Security, non a Claude.
Google non divulga ancora alcuni dettagli sui bug
Le note di rilascio avvertono che l’accesso ai dettagli e ai link potrebbe rimanere limitato finché la maggioranza degli utenti non avrà ricevuto la correzione. Google afferma che potrebbe mantenere riservate le informazioni anche quando una vulnerabilità interessa una libreria di terze parti da cui dipendono altri progetti che non l’hanno ancora corretta. Di conseguenza, alcune voci riportano la gravità, il componente e chi ha segnalato il problema, senza una spiegazione pubblica del problema sottostante.
Google afferma che la versione per desktop sarà distribuita nei prossimi giorni e nelle prossime settimane. Gli utenti possono controllare le impostazioni di aggiornamento di Chrome per verificare se la nuova versione è disponibile per il loro dispositivo. L’avviso identifica le due vulnerabilità critiche attribuite a Ge con l’aiuto di Claude come un problema di corruzione della memoria in FileSystem e un problema di convalida dell’input in FileAPI; non pubblica ulteriori dettagli su nessuna delle due vulnerabilità.