Mostra sommario Nascondi sommario
Google ha reso pubblico per errore il codice di un exploit che colpisce i browser basati su Chromium, compreso Chrome e Microsoft Edge. La scoperta accende un allarme perché la falla, segnalata già nel 2022, risulta ancora sfruttabile e il codice pubblicato potrebbe finire nelle mani dei criminali informatici.
Rilascio involontario del codice: cronologia e implicazioni
La vulnerabilità era stata segnalata da una ricercatrice nel dicembre 2022. Nonostante la segnalazione, controlli interni hanno mostrato che il problema non risultava risolto in modo definitivo.
Galaxy H1: in arrivo le cuffie over-ear di Samsung
Lenovo a IFA 2026: due notebook super sottili, uno con display OLED espandibile
A fine ottobre 2024 uno sviluppatore di Google ha annotato che la correzione mancava. Il 20 maggio le restrizioni su una discussione tecnica sono state rimosse perché si dava per distribuita una patch. In realtà la falla persisteva.
Per errore, il codice dell’exploit è rimasto accessibile prima che il thread fosse nuovamente bloccato. Una volta pubblicato, il codice può essere replicato e adattato. Questo aumenta il rischio di attacchi mirati sulle utenze che non ricevono la correzione tempestivamente.
La natura della falla: Browser Fetch e service worker
Al centro del problema c’è lo standard Browser Fetch. Si tratta di una funzione pensata per scaricare file di grande dimensione in background, anche quando la scheda o il browser sono chiusi.
L’exploit sfrutta la possibilità di far registrare ai siti web un service worker tramite codice JavaScript nascosto. Questo processo può rimanere attivo a tempo indeterminato, generando una connessione persistente nel browser.
Come funziona l’attacco in pratica
- Una pagina compromessa esegue JavaScript che crea o registra un service worker.
- Il service worker avvia richieste di download in background usando Browser Fetch.
- La connessione rimane attiva anche dopo la chiusura della scheda o del browser.
- Il dispositivo può così comportarsi come una backdoor silenziosa, disponibile per ulteriori comandi.
Rischi concreti: dalla botnet al traffico occulto
L’exploit apre diverse possibilità di abuso. Tra le più preoccupanti:
- Aggiunta a botnet, per sfruttare il dispositivo in attacchi coordinati.
- Attacchi DDoS lanciati con risorse distribuite.
- Creazione di proxy anonimi per instradare traffico malevolo.
- Reindirizzamento verso siti infetti o di phishing.
- Monitoraggio della navigazione e attività online dell’utente.
Secondo le segnalazioni, gli utenti di Microsoft Edge sono più esposti perché la finestra del download resta invisibile in alcune condizioni. Al riavvio del browser la traccia del trasferimento può scomparire, rendendo più difficile individuare l’abuso.
Limiti tecnici dell’exploit e stato della correzione
È importante chiarire che la falla non permette di aggirare tutte le protezioni del browser. Non consente, ad esempio, accesso diretto ai file del sistema operativo né l’elevazione immediata dei privilegi fuori dall’ambiente del browser.
Google ha dichiarato l’intenzione di distribuire una patch a breve. Il ritardo è notevole: la segnalazione originale risale a quasi quattro anni fa. Nel frattempo, il codice pubblicato aumenta la probabilità di attacchi reali.
Consigli pratici per utenti e amministratori
Fino al rilascio della correzione ufficiale, è utile adottare misure preventive. Ecco alcune azioni concrete:
- Aggiornare il browser appena Google pubblicherà la patch.
- Valutare l’uso temporaneo di browser non basati su Chromium, come Firefox.
- Evita di visitare siti non affidabili o di cliccare link sospetti.
- Controllare e rimuovere service worker sconosciuti dalle impostazioni del browser.
- Monitorare il traffico di rete per attività anomale e bloccare connessioni sospette dal firewall.
- Per le aziende: applicare policy di sicurezza e aggiornare i dispositivi gestiti appena disponibile la fix.
Cosa aspettarsi nelle prossime ore
Con il codice dell’exploit ormai pubblico, la priorità è il rilascio di una correzione stabile. Gli esperti consigliano vigilanza e aggiornamenti immediati. Chi gestisce reti o sistemi end-user dovrebbe prepararsi a distribuire le patch appena disponibili.
