CVE-2026-120931: falla critica in WebGL su Chrome Android, come verificare e aggiornare

CVE-2026-120931 è una vulnerabilità critica in WebGL su Google Chrome per Android. Una pagina HTML costruita ad arte può eseguire codice arbitrario fuori dalla sandbox del browser. Il punteggio CVSS è 9.6. La correzione è nella versione 156.0.8078.47: se i telefoni e i tablet aziendali hanno una versione precedente, vanno aggiornati subito dal Play Store.

Cosa è successo: la vulnerabilità CVE-2026-120931 in Google Chrome per Android

La descrizione ufficiale parla di un out of bounds write, cioè una scrittura fuori dai limiti della memoria assegnata, nel componente WebGL di Google Chrome su Android nelle versioni precedenti alla 156.0.8078.47. WebGL è l'interfaccia che permette alle pagine web di usare la scheda grafica per rendering 3D e accelerato. Un attaccante remoto, tramite una pagina HTML appositamente preparata, può sfruttare l'errore di gestione della memoria per eseguire codice arbitrario fuori dalla sandbox. Il team Chromium classifica la gravità come Critical.

Chi è colpito: versioni vulnerabili di Google Chrome su Android

Sono interessate tutte le installazioni di Google Chrome su Android con versione precedente alla 156.0.8078.47. Nella pratica, per una PMI, significa:

• smartphone e tablet aziendali con Chrome non aggiornato;
• dispositivi personali usati per lavoro (BYOD) che accedono a posta, gestionale o cloud aziendale;
• dispositivi con aggiornamenti automatici del Play Store disattivati o bloccati da una gestione MDM troppo restrittiva.

La descrizione si riferisce espressamente a Chrome su Android. Per gli altri browser basati su Chromium per Android e per le app che incorporano WebView, l'eventuale impatto va verificato sugli advisory dei rispettivi produttori, perché non è indicato nel bollettino.

Quanto è grave: punteggio CVSS e sfruttamento attivo di CVE-2026-120931

Il vettore è CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, punteggio 9.6. Tradotto:

• AV:N, AC:L, PR:N: l'attacco arriva dalla rete, è a bassa complessità e non richiede credenziali;
• UI:R: serve un'azione dell'utente, in questo caso aprire una pagina web malevola, anche tramite un link in email, chat o pubblicità;
• S:C: lo scope cambia, cioè l'effetto esce dal confine del browser. È la parte più seria: la sandbox di Chrome esiste proprio per contenere i danni di un sito ostile, e qui viene superata;
• C:H, I:H, A:H: impatto alto su riservatezza, integrità e disponibilità.

In concreto l'attaccante ottiene una esecuzione di codice remoto (RCE) sul dispositivo, con la possibilità di accedere a dati e sessioni al di fuori del browser. Al momento la vulnerabilità non risulta nel catalogo CISA KEV, quindi non ci sono conferme pubbliche di sfruttamento attivo. Questo non deve rallentare l'aggiornamento: le falle critiche nei browser vengono spesso sfruttate poco dopo la pubblicazione della patch.

Come capire se sei esposto: verifica versione, esposizione e log

Verifica della versione di Chrome su Android

1. Apri Chrome, tocca il menu con i tre puntini, poi Impostazioni e Informazioni su Chrome. La versione è riportata in cima.
2. In alternativa, digita chrome://version nella barra degli indirizzi.
3. Se la versione è inferiore a 156.0.8078.47, il dispositivo è vulnerabile.

Se gestisci una flotta con un MDM (Intune, Google Workspace, altri), usa l'inventario delle app per estrarre la versione di Chrome su tutti i dispositivi registrati, invece di controllarli uno a uno.

Esposizione

Qui non c'è un servizio esposto su internet da chiudere: l'esposizione coincide con la navigazione. Ogni dispositivo che apre pagine web da fonti non controllate è esposto. I profili a rischio maggiore sono chi riceve molti link da esterni (commerciali, amministrazione, assistenza clienti) e chi usa lo stesso telefono per lavoro e vita privata.

Log e indicatori

Su Android i log di sistema non sono facilmente consultabili dall'utente. Segnali da non ignorare: crash ripetuti di Chrome dopo l'apertura di un link, app sconosciute installate, consumo anomalo di batteria o dati, richieste di permessi inattese, accessi da posizioni o dispositivi nuovi nei registri di Microsoft 365 o Google Workspace. Se hai un MDM o un prodotto di mobile threat defense, controlla gli avvisi degli ultimi giorni. I dettagli tecnici dell'exploit non sono pubblici: eventuali indicatori di compromissione specifici vanno cercati sull'advisory del produttore.

Come risolvere la vulnerabilità: patch e aggiornamento di Google Chrome

La correzione è inclusa in Chrome 156.0.8078.47 per Android, come indicato nella descrizione ufficiale. L'aggiornamento si applica dal Google Play Store: apri il Play Store, cerca Google Chrome e tocca Aggiorna, oppure vai in Gestisci app e dispositivo e aggiorna tutto. Dopo l'aggiornamento chiudi completamente Chrome e riaprilo, poi ricontrolla la versione in chrome://version.

Se il Play Store non propone la nuova versione, verifica che il dispositivo non sia bloccato da policy MDM, che abbia spazio sufficiente e che non sia un modello fuori supporto. Per eventuali note aggiuntive sulla distribuzione della release consulta il bollettino ufficiale linkato in fondo.

Cosa fare subito: mitigazioni e hardening contro CVE-2026-120931

1. Aggiorna Chrome su tutti i dispositivi Android aziendali e BYOD che accedono a risorse aziendali. È l'unica misura risolutiva.
2. Forza gli aggiornamenti automatici del Play Store tramite MDM, così non dipendi dalla diligenza del singolo utente.
3. Riduci la navigazione a rischio fino all'aggiornamento: avvisa il personale di non aprire link da mittenti sconosciuti, in particolare da SMS e chat.
4. Segmenta la rete: i dispositivi mobili dovrebbero stare su una VLAN o Wi-Fi separata dai server e dalle postazioni, in modo che un telefono compromesso non possa raggiungere direttamente il gestionale.
5. Verifica l'accesso condizionale su Microsoft 365 o Google Workspace: se possibile, blocca l'accesso da dispositivi non conformi o con app non aggiornate.
6. Ruota le credenziali e le sessioni dei dispositivi che risultano aggiornati in ritardo e hanno avuto comportamenti sospetti.

Non risultano workaround ufficiali alternativi all'aggiornamento. Disattivare WebGL o altre funzioni del browser può essere valutato, ma l'efficacia va confermata sulla documentazione del produttore prima di affidarsi a questa misura.

Se sospetti una compromissione: incident response e analisi forense

Se un dispositivo mostra i segnali descritti sopra dopo aver aperto un link sospetto, non ripristinarlo alle impostazioni di fabbrica e non disinstallare app a caso: cancelleresti le tracce che servono a capire cosa è successo. La procedura corretta è:

• scollegare il dispositivo dalla rete aziendale (Wi-Fi e VPN) senza spegnerlo;
• revocare le sessioni attive dell'utente su posta e cloud e cambiare le password da un altro dispositivo pulito;
• preservare i log del MDM, del firewall e dei servizi cloud relativi a quell'utente;
• far eseguire una copia forense dello smartphone da un perito, così da analizzare il contenuto senza alterare la prova;
• valutare l'obbligo di notifica al Garante entro 72 ore ai sensi del GDPR se sono coinvolti dati personali.

Nel mio studio gestisco l'incident response e l'acquisizione forense di smartphone, con un preventivo a prezzo fisso (incident response da 1.500 a 6.000 €, copia forense da 800 a 3.000 €). Per le prime ore dopo un sospetto può essere utile anche la checklist che ho pubblicato su cosa fare nelle prime 24 ore in caso di malware in azienda.

Fonti ufficiali

• Google Chrome Releases: Stable Channel Update

Se vuoi un controllo sullo stato di aggiornamento dei dispositivi aziendali, sulla segmentazione della rete o sull'accesso condizionale ai servizi cloud, puoi richiedere un preventivo gratuito: rispondo entro 24 ore. Per urgenze o sospetti di compromissione in corso, trovi telefono e WhatsApp nella pagina contatti.