Questa vulnerabilità, l’ottava di tipo zero-day risolta quest’anno, è stata definita di gravità alta e risiede in un componente chiamato ANGLE che permette l’esecuzione di codice arbitrario
[In pillole] La sintesi per chi va di fretta:
Google ha rilasciato un aggiornamento d'emergenza per Chrome per risolvere una vulnerabilità zero-day, l'ottava del 2025. Identificata come CVE-2025-14174 e di gravità alta, la falla è già attivamente sfruttata dagli hacker. Il problema, localizzato nel componente ANGLE, può permettere l'esecuzione di codice malevolo, rendendo cruciale l'aggiornamento immediato del browser per tutti gli utenti.
Google ha distribuito un aggiornamento di sicurezza definito “d’emergenza” per il suo browser Chrome, utilizzato da miliardi di persone in tutto il mondo.
La ragione è la scoperta di una vulnerabilità di tipo “zero-day”, un termine che nel gergo della sicurezza informatica indica una falla che è già nota e attivamente sfruttata da aggressori informatici prima che l’azienda produttrice del software abbia avuto il tempo di sviluppare e distribuire una soluzione.
Si tratta dell’ottava vulnerabilità di questo tipo risolta da Google solo nel corso di quest’anno, un dato che suggerisce una pressione costante e crescente sui sistemi di sicurezza del browser più diffuso al mondo.
La falla di sicurezza, identificata con il codice CVE-2025-14174, è considerata di gravità “alta”.
Questo significa che, se sfruttata, potrebbe consentire a un malintenzionato di eseguire codice arbitrario sul computer della vittima, potenzialmente prendendone il controllo o installando software dannoso.
L’aspetto più problematico di queste situazioni è che, per cadere vittima di un attacco, potrebbe essere sufficiente visitare una pagina web appositamente preparata, senza bisogno di compiere altre azioni o scaricare consapevolmente dei file.
Google, come sua abitudine in questi casi, ha mantenuto uno stretto riserbo sui dettagli tecnici dell’attacco e su chi lo stia conducendo, una scelta motivata dalla volontà di non fornire ulteriori informazioni a chi potrebbe tentare di replicare l’aggressione.
Tuttavia, le poche informazioni disponibili delineano un problema tecnico piuttosto specifico e una tendenza ormai consolidata.
Che cosa è successo, di preciso
La vulnerabilità risiede in un componente specifico di Chrome chiamato ANGLE (Almost Native Graphics Layer Engine), una libreria software che funziona come una sorta di “traduttore”. Il suo compito è convertire i comandi grafici dello standard OpenGL ES, molto usato nel web e sui dispositivi mobili, in comandi comprensibili dai sistemi operativi come Windows, macOS e Linux.
La condivisione di tali standard grafici tra ecosistemi diversi suggerisce che simili vulnerabilità nella gestione della memoria potrebbero replicarsi altrove, imponendo standard di controllo rigorosi anche nello sviluppo di applicazioni mobile che fanno uso intensivo di rendering nativo.
Il problema si verifica nel modo in cui ANGLE gestisce la memoria quando elabora determinate immagini su computer macOS. In sostanza, un errore di calcolo delle dimensioni di un’area di memoria (un “buffer”) può portare il programma a scrivere dati al di fuori dello spazio che gli è stato assegnato.
Questa condizione, nota come out-of-bounds memory access, è una delle cause più comuni di vulnerabilità software. Si può pensare a un magazziniere a cui viene detto di riempire uno scaffale che può contenere dieci scatole, ma per un errore di calcolo gliene vengono consegnate dodici. Le due scatole in più finirebbero fuori posto, creando disordine e potenziali incidenti.
Nel mondo del software, questo “disordine” può corrompere la memoria del programma, causandone l’arresto anomalo o, nei casi peggiori, creando un’apertura che un aggressore può sfruttare per inserire ed eseguire le proprie istruzioni.
La soluzione, come sempre in questi casi, è un aggiornamento: Google ha rilasciato la versione 143.0.7499.109/.110 per Windows e macOS e 143.0.7499.109 per Linux, che corregge l’errore di calcolo.
Il fatto che anche un componente così tecnico e apparentemente nascosto possa diventare un punto di ingresso per degli attacchi la dice lunga sulla complessità del software che usiamo ogni giorno. Ma il vero problema non è tanto la natura specifica di questa falla, quanto la sua appartenenza a una serie sempre più lunga di incidenti simili, che disegna un quadro piuttosto preoccupante sulla sicurezza generale di Chrome.
L’ottava falla dell’anno
Quello di CVE-2025-14174 non è un evento isolato, ma l’ultimo di una catena di otto vulnerabilità zero-day che hanno interessato Chrome nel corso del 2025. Questa frequenza solleva qualche interrogativo sulla capacità di Google di blindare un prodotto che, di fatto, è la principale porta di accesso a internet per la maggior parte della popolazione mondiale.
Molti degli attacchi precedenti si sono concentrati su un altro componente fondamentale di Chrome, il motore JavaScript V8, il cuore che esegue il codice delle pagine web interattive. In più occasioni, aggressori sono riusciti a sfruttare falle nel V8 per “evadere” dalla cosiddetta “sandbox”, l’ambiente protetto in cui il browser isola le pagine web per impedire loro di accedere al resto del sistema operativo.
Questa serie di incidenti suggerisce l’esistenza di gruppi di aggressori molto sofisticati, probabilmente legati a operazioni di spionaggio statale o a gruppi criminali con grandi risorse, che dedicano tempo e sforzi a studiare il codice di Chrome per trovare nuovi punti deboli. D’altronde, con una base di utenti stimata in oltre 3,4 miliardi di persone, una singola falla efficace offre un potenziale di attacco quasi illimitato.
– Leggi anche: Flexiv lancia FMR 300 la base mobile che libera i robot dai bulloni
Anche il Threat Analysis Group (TAG) di Google, il team interno che si occupa di monitorare le minacce più avanzate, ha scoperto e segnalato alcune di queste vulnerabilità, a conferma che l’azienda si trova in una perenne e difficile rincorsa contro avversari molto abili.
Questa situazione porta a una riflessione più ampia: la continua aggiunta di nuove funzionalità e la crescente complessità di un software come Chrome, se da un lato ne migliorano l’esperienza d’uso, dall’altro ne espandono inevitabilmente la “superficie d’attacco”, offrendo sempre nuove possibili crepe da sfruttare.
La domanda che sorge spontanea è se il ritmo dell’innovazione sia sostenibile dal punto di vista della sicurezza e se un prodotto di tale diffusione non richieda un approccio alla progettazione ancora più cauto e conservativo.
La risposta di Google e le implicazioni per tutti
La risposta di Google, come quella di ogni grande azienda tecnologica in questi casi, segue un protocollo consolidato. L’aggiornamento è stato rilasciato rapidamente, accompagnato da una comunicazione essenziale. L’azienda ha confermato l’esistenza di uno sfruttamento attivo della falla, ma ha limitato i dettagli per non favorire altri malintenzionati.
L’importanza della questione è stata sottolineata anche dalla CISA, l’agenzia per la sicurezza informatica del governo statunitense, che ha inserito la vulnerabilità nel suo catalogo di minacce note e ha imposto a tutte le agenzie federali di installare la patch entro il 2 gennaio 2026.
Oltre alla falla principale, l’ultimo aggiornamento di Chrome ne risolve altre due di gravità media, scoperte grazie al programma di “bug bounty”, attraverso cui Google ricompensa economicamente i ricercatori di sicurezza che segnalano privatamente i problemi che trovano. In questo caso sono stati pagati 2.000 dollari per ciascuna segnalazione.
Se da un lato questi programmi sono uno strumento utile per migliorare la sicurezza, la loro esistenza e il continuo flusso di scoperte, comprese le zero-day trovate direttamente “sul campo” dagli aggressori, dimostrano come il processo di revisione interno, per quanto esteso, non sia mai sufficiente.
Per chi usa Chrome, l’implicazione più diretta è la necessità di mantenere il browser costantemente aggiornato, un’operazione che di solito avviene in automatico ma che è sempre bene verificare.
Tuttavia, la questione più profonda riguarda la fiducia.
Ci affidiamo a un piccolo gruppo di aziende per la quasi totalità della nostra vita digitale, dando per scontato che i loro prodotti siano sicuri. Episodi come questo ci ricordano che la sicurezza assoluta non esiste e che la struttura su cui si regge gran parte di internet è soggetta a una continua tensione tra chi la costruisce e chi cerca di incrinarla.
L’ottava falla dell’anno non è solo un problema tecnico per Google, ma un promemoria della fragilità di un sistema che è diventato, per tutti, semplicemente indispensabile.
