Il 13 ottobre 2026 XBOW ha reso noto che i suoi ricercatori e agenti di IA avevano assemblato una catena di tre vulnerabilità di Chrome durante uno sprint dal 2 al 7 agosto. Secondo l’azienda, la catena avrebbe potuto portare da una pagina web all’esecuzione di codice su un computer Windows, senza clic o download; XBOW afferma inoltre che Google le ha assegnato un premio di 250.000 dollari. L’annuncio di XBOW e il resoconto tecnico dell’azienda descrivono una ricerca sui componenti di Chrome, non un attacco documentato ai suoi utenti.
Lo sprint di sei giorni non è partito da zero
Le date dello sprint sono il 2 e il 7 agosto 2026; la divulgazione è arrivata il 13 ottobre. XBOW colloca il lavoro premiato dopo una sfida lanciata a gennaio e un primo tentativo di costruire una catena completa, durato due mesi. Google aveva comunicato all’azienda di conoscere già uno dei bug inclusi in quel primo tentativo.
Per la catena premiata, XBOW stima circa 40.000 dollari di costi per API e calcolo. La cifra e il premio di 250.000 dollari sono importi riferiti dall’azienda: Google non è indicata come fonte del pagamento nell’annuncio di aggiornamento citato qui sotto.
Come si collegavano i tre componenti di Chrome
XBOW descrive tre passaggi: un bug del compilatore V8, il percorso di decodifica delle immagini WebP animate e una vulnerabilità di sicurezza della memoria in Crashpad, il gestore degli arresti anomali di Chrome.
Secondo il resoconto tecnico dell’azienda, il problema in V8 consentiva accessi alla memoria all’interno della sua cage, un’area isolata. La vulnerabilità nella decodifica di WebP animati permetteva poi di superare quel confine con una scrittura nativa; il difetto di Crashpad completava la catena portando all’esecuzione di codice fuori dal sandbox del processo renderer, l’ambiente in cui Chrome elabora le pagine.
È la combinazione dei tre difetti, attraverso confini di sicurezza differenti, a spiegare l’impatto descritto da XBOW. La società riferisce che una pagina costruita ad hoc avrebbe potuto innescare l’esecuzione di codice su Windows senza un’interazione dell’utente.
Agenti IA e ricercatori avevano compiti diversi
XBOW afferma di aver usato GPT-5.6 Sol, un modello di OpenAI disponibile al pubblico, insieme ad altri agenti e a modelli precedenti. Gli agenti cercavano nel codice sorgente, verificavano ipotesi, costruivano prove di concetto e preparavano bozze delle fasi dell’exploit. I ricercatori sceglievano gli obiettivi, fornivano contesto, controllavano e reindirizzavano il lavoro, poi decidevano quali componenti combinare.
Nel resoconto tecnico, XBOW indica Brendan Dolan-Gavitt come il ricercatore che ha costruito la catena premiata con gli agenti. Il risultato dei sei giorni si riferisce dunque a quello specifico sprint, dopo il lavoro precedente descritto dall’azienda.
Aggiornamenti di Chrome e vulnerabilità V8
XBOW afferma che tutti e tre i bug sono stati corretti e consiglia di riavviare Chrome dopo l’aggiornamento, perché la correzione diventa effettiva al riavvio.
Google associa CVE-2026-85045 a una vulnerabilità ad alta gravità, una race condition in V8, e indica Chrome 152.0.7977.82 e 152.0.7977.83 nell’aggiornamento del 3 settembre 2026. L’avviso ufficiale di Google riguarda questa corrispondenza tra CVE, componente e versioni.
