Google si affanna a correggere le falle mentre il codice dell'exploit viene reso pubblico

La linea stabile Chrome 145 di Google continua a muoversi dopo la patch di emergenza CVE-2026-2441, con ulteriori correzioni di sicurezza in arrivo nelle build più recenti

Google ha inviato nuove build di Chrome 145 Stable dopo la correzione del giorno zero CVE-2026-2441, aggiungendo altre tre patch di sicurezza, aggiornando Extended Stable e provocando un elenco CISA KEV per la falla sfruttata.

Darryl Linington (traduzione a cura di DeepL / Ninh Duy), Pubblicato 02/21/2026 🇺🇸 🇪🇸 ...

Il 18 febbraio 2026, Google ha pubblicato un aggiornamento del Canale Stabile per Desktop, spostando Chrome a 145.0.7632.109/110 (Windows/macOS) e 144.0.7559.109 (Linux), con un rollout scaglionato descritto come avvenuto "nei prossimi giorni/settimane"

L'aggiornamento desktop del 18 febbraio ha risolto tre CVE aggiuntivi

Le note di rilascio del desktop di Google del 18 febbraio elencano tre correzioni di sicurezza in quella build, separate da CVE-2026-2441:

CVE-2026-2648 (Alto): Overflow del buffer Heap in PDFium
CVE-2026-2649 (Alto): Overflow del numero intero in V8
CVE-2026-2650 (Medio): Overflow del buffer Heap in Media

La versione Extended Stable è stata aggiornata per Windows e macOS

Google ha anche aggiornato il canale Extended Stable il 18 febbraio 2026, portandolo a 144.0.7559.220 per Windows e Mac, sempre con un rollout scaglionato nei prossimi giorni/settimane.

Mobile: Aggiornamenti di Chrome 145 anche su Android e iOS

Oltre agli aggiornamenti per il desktop, Google ha pubblicato aggiornamenti stabili per il mobile:

Android: Chrome 145 (145.0.7632.109), in uscita tramite Google Play.
iOS: Chrome stabile 145 (145.0.7632.108), in distribuzione tramite l'App Store.

La nota di Google Android ribadisce inoltre che le versioni Android contengono le stesse correzioni di sicurezza delle corrispondenti versioni desktop, a meno che non sia indicato diversamente.

Il CISA ha aggiunto CVE-2026-2441 al catalogo delle Vulnerabilità Conosciute Sfruttate, con scadenza a marzo

CVE-2026-2441 è ora elencato nel catalogo delle Vulnerabilità Conosciute Sfruttate (KEV) del CISA, https://www.cisa.gov/news-events/alerts/2026/02/17/cisa-adds-four-known-exploited-vulnerabilities-cataloge la pagina NVD rispecchia i metadati KEV:

Data aggiunta: 17/02/2026
Data di scadenza: 03/10/2026
Azione necessaria: applicare le mitigazioni secondo le istruzioni del fornitore (o interrompere l'uso se le mitigazioni non sono disponibili).

CISA ha anche annunciato pubblicamente l'aggiunta di CVE-2026-2441 al catalogo come parte di un aggiornamento batch. Il record NVD è stato nuovamente aggiornato, includendo un riferimento PoC pubblico

La cronologia delle modifiche della voce NVD mostra ulteriori aggiornamenti dopo la divulgazione iniziale, tra cui una modifica CISA-ADP del 20/02/2026 che ha aggiunto un riferimento a un link PoC pubblicato pubblicamente.