CVE-2026-121074: memory corruption nel GPU di Chrome Android, come verificare e aggiornare

CVE-2026-121074 è una vulnerabilità di tipo memory corruption nel componente GPU di Google Chrome per Android, corretta nella versione 157.0.8103.38. Una pagina HTML costruita ad arte può permettere a un attaccante remoto di eseguire codice fuori dalla sandbox del browser. Il punteggio CVSS è 9.6 (critico), mentre Chromium la classifica come High. Non risulta sfruttata attivamente nel catalogo CISA KEV. La cosa da fare è una sola: controllare la versione di Chrome sui telefoni e tablet Android aziendali e aggiornare.

Cosa è successo: la vulnerabilità CVE-2026-121074 in Google Chrome per Android

Google ha pubblicato il 3 novembre 2026 l'aggiornamento di Chrome 157 al canale stabile. Il bollettino contiene 213 correzioni di sicurezza. Tra queste c'è CVE-2026-121074, descritta ufficialmente come memory corruption nel componente GPU di Chrome su Android, segnalata internamente da Google il 19 luglio 2026. La descrizione parla di una pagina HTML malevola che consente a un attaccante remoto di eseguire potenzialmente codice arbitrario al di fuori della sandbox. In pratica, basta che l'utente apra un link.

Chi è colpito: versioni vulnerabili di Chrome per Android

Secondo la descrizione ufficiale sono vulnerabili tutte le versioni di Google Chrome per Android precedenti alla 157.0.8103.38. L'advisory di Google collegato nel brief riguarda il canale stabile per desktop (157.0.8103.38 per Linux, 157.0.8103.38 e .39 per Windows e Mac) e riporta lo stesso CVE nell'elenco delle correzioni. Se i dispositivi desktop siano esposti alla stessa falla non è esplicitato nella descrizione del CVE, che cita solo Android: va verificato sull'advisory del produttore. Anche l'eventuale impatto su Android System WebView e su altri browser basati su Chromium non è indicato nelle fonti e va controllato presso i rispettivi fornitori.

Quanto è grave: punteggio CVSS e sfruttamento attivo di CVE-2026-121074

Il vettore è CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, punteggio 9.6. Tradotto:

• AV:N, AC:L, PR:N: attacco via rete, bassa complessità, nessun privilegio richiesto.
• UI:R: serve un'azione dell'utente, cioè visitare una pagina. Un link in un'email, un messaggio WhatsApp o un banner pubblicitario è sufficiente.
• S:C: cambio di scope. È il punto più delicato: il codice esce dalla sandbox di Chrome e può toccare il resto del sistema.
• C:H, I:H, A:H: impatto alto su riservatezza, integrità e disponibilità.

Il risultato per l'attaccante è una potenziale esecuzione di codice (RCE) con escape dalla sandbox. Chromium la valuta High e non Critical, probabilmente perché serve l'interazione dell'utente. CISA non la riporta tra le vulnerabilità sfruttate attivamente. Non ci sono dettagli pubblici sull'exploit: Google limita l'accesso al bug finché la maggioranza degli utenti non ha aggiornato.

Come capire se sei esposto: verifica versione, esposizione e log di Chrome Android

Leggere la versione installata

1. Apri Chrome sul dispositivo Android, tocca i tre puntini in alto a destra, poi Impostazioni e Informazioni su Chrome. Trovi il numero di versione.
2. In alternativa digita chrome://version nella barra degli indirizzi: la prima riga mostra la versione completa.
3. Se il numero è inferiore a 157.0.8103.38 il dispositivo è vulnerabile.

Valutare l'esposizione

Qui non c'è un servizio esposto su internet da chiudere: la superficie d'attacco è la navigazione stessa. Ogni telefono Android aziendale che apre link è esposto. Chiediti quanti dispositivi usano Chrome, se ricevono aggiornamenti automatici dal Play Store e se sono gestiti da una soluzione MDM o Android Enterprise che ti permette di vedere le versioni installate in modo centralizzato. Senza MDM il controllo va fatto a mano, dispositivo per dispositivo.

Cosa guardare

Su un client Android i log disponibili sono pochi. Indicatori che meritano attenzione: crash ripetuti di Chrome dopo l'apertura di una pagina, app comparse senza installazione da parte dell'utente, consumo anomalo di dati o batteria, richieste di permessi inattese. Se l'azienda ha un proxy o un firewall con filtro web, controlla le connessioni verso domini sconosciuti dai dispositivi mobili. Sono segnali generici, non prove: in assenza di dettagli pubblici sull'exploit non esistono indicatori di compromissione specifici per questo CVE.

Come risolvere la vulnerabilità: patch e aggiornamento di Chrome a 157.0.8103.38

La correzione è già disponibile: Chrome 157.0.8103.38 per Android. Si installa dal Google Play Store, cercando Chrome e toccando Aggiorna, oppure da Impostazioni, Informazioni su Chrome che rimanda al Play Store. Google distribuisce l'aggiornamento in modo graduale nel corso di giorni o settimane, quindi su alcuni dispositivi potrebbe non comparire subito. Dopo l'aggiornamento chiudi e riapri il browser e ricontrolla la versione con chrome://version. Se gestisci i dispositivi con un MDM, forza l'aggiornamento dell'app dalla console. Sui desktop installa comunque Chrome 157 stabile, che corregge lo stesso insieme di 213 falle.

Cosa fare subito: mitigazioni e hardening in attesa della patch

1. Aggiorna Chrome su tutti i dispositivi Android aziendali. È la sola misura risolutiva.
2. Attiva gli aggiornamenti automatici nel Play Store, almeno per le app di Google, e verifica che non siano stati disattivati per risparmiare dati.
3. Riduci l'esposizione finché l'aggiornamento non è arrivato: evita di aprire link da mittenti sconosciuti, in particolare da SMS e messaggistica. Un filtro web sulla rete aziendale o nel profilo di lavoro aiuta.
4. Separa i dati: con un profilo di lavoro Android Enterprise i dati aziendali restano isolati anche se il browser personale viene compromesso.
5. Verifica il resto dello stack Chromium: WebView e browser derivati vanno controllati sugli advisory dei rispettivi fornitori.
6. Ruota le credenziali solo se hai indizi di compromissione; in quel caso cambia password e revoca le sessioni degli account usati sul dispositivo.

Questa è la seconda falla rilevante nella pipeline grafica di Chrome Android in poco tempo: ne ho scritto anche per CVE-2026-120931 in WebGL. Se l'aggiornamento mobile in azienda non è ancora un processo, questo è il momento di definirlo.

Se sospetti una compromissione: incident response e analisi forense

Se un dispositivo mostra i sintomi descritti dopo aver aperto una pagina sospetta, non ripristinarlo alle impostazioni di fabbrica e non disinstallare app: cancelleresti le tracce. Mettilo in modalità aereo o toglilo dal Wi-Fi aziendale per interrompere eventuali comunicazioni, lascialo acceso e annota data, ora e cosa è stato aperto. Revoca le sessioni degli account aziendali da un altro dispositivo. Poi fai eseguire una copia forense dello smartphone: è l'unico modo per analizzare cosa è accaduto senza alterare le prove e per avere un documento utilizzabile anche in sede legale o verso l'assicurazione. Se dal telefono sono raggiungibili dati personali, valuta con il DPO gli obblighi di notifica previsti dal GDPR. Per il piano operativo delle prime ore rimando a cosa fare nelle prime 24 ore in caso di malware.

Fonti ufficiali su CVE-2026-121074

• Chrome Releases: Stable Channel Update for Desktop, 3 novembre 2026

L'elenco completo delle versioni interessate su ciascuna piattaforma e i dettagli del bug vanno verificati sull'advisory di Google, che potrà essere aggiornato nei prossimi giorni.

Hai bisogno di una mano?

Se vuoi un inventario dei dispositivi mobili aziendali con verifica delle versioni, un piano di aggiornamento gestito o un'analisi forense di un telefono che ritieni compromesso, posso occuparmene. L'incident response parte da 1.500 € e un audit di sicurezza da 2.000 €, sempre con preventivo a prezzo fisso. Scrivimi dalla pagina preventivo gratuito: rispondo entro 24 ore. Per le urgenze trovi WhatsApp nei contatti.