CVE-2026-118306: Memory corruption in Chrome FileSystem

CVE-2026-118306 identifica una memory corruption nel componente FileSystem di Google Chrome nelle versioni prior to 156.0.8078.73. La vulnerabilità consente a un utente malintenzionato remoto di eseguire codice arbitrario fuori dalla sandbox del browser tramite una pagina HTML appositamente creata. Impatto concreto: accesso completo al sistema dell'utente, bypass delle protezioni del browser, furto di dati sensibili e credenziali locali.

Il CVSS è 9,6 (critical), classificazione massima. Chromium ha dichiarato critical security severity. La vulnerabilità è stata pubblicata da NIST il 27 ottobre 2026. Non sono segnalati exploit pubblici attivi al momento, tuttavia il punteggio CVSS riflette il potenziale estremamente elevato di sfruttamento. Comunicazioni non ufficiali su X indicano che versioni di Playwright (almeno fino alla 1.64.1) bundelano Chromium interessato da questo CVE, con sandbox disabilitato di default in alcune configurazioni—informazione non verificata attraverso canali ufficiali.

Azioni critiche per difensori: verificare immediatamente quale versione di Chrome è in uso nei sistemi aziendali (Settings > About Chrome mostra versione). Controllare se strumenti di automazione (Playwright, Puppeteer, Selenium) che bundelano Chromium sono utilizzati e aggiornare a patch disponibili. Abilitare aggiornamenti automatici di Chrome se non già attivi. Monitorare log di browser e processi per richieste anomale a risorse filesystem locali. Sensibilizzare utenti a non aprire pagine HTML non attendibili durante questa finestra critica.