La falla Browser Fetch in Chromium è il classico problema che sembra astratto finché non lo metti sul telefono di tutti i giorni: apri un sito, il browser crea una connessione persistente in background e, secondo la ricostruzione di Ars Technica ripresa anche da Android Authority, quella connessione può trasformare Chrome, Edge o altri browser Chromium in un piccolo nodo proxy. Non è malware tradizionale, non chiede permessi e non si presenta con il solito teatrino del popup sospetto. Peggio: proprio per questo è più difficile da spiegare agli utenti normali.
Il dato fresco è doppio: Ars ha pubblicato il caso il 20 maggio 2026, Android Authority lo ha rilanciato il 21 maggio, mentre Google ha appena distribuito Chrome 149 per Android in early stable. Attenzione però: il post Chrome Releases parla di stabilità e prestazioni, non dichiara una correzione specifica per questa vulnerabilità. Quindi la guida pratica non può essere “aggiorna e dormi”: deve essere “aggiorna, controlla, riduci superficie e non confondere assenza di sintomi con assenza di rischio”. Sì, sicurezza informatica: il settore dove anche il silenzio può mentire benissimo.
Requisiti e compatibilità
Il problema riguarda il codice Chromium e quindi va considerato rilevante per Chrome su Android, Microsoft Edge, Brave, Vivaldi, Opera e in generale i browser Android basati su Chromium. Firefox resta fuori da questa famiglia tecnica, perché usa Gecko, ma questo non lo rende automaticamente “immune da tutto”: semplicemente non è il bersaglio diretto di questa specifica storia Browser Fetch.
Su Android c’è un secondo pezzo da non dimenticare: Android System WebView. Molte app mostrano pagine web usando WebView invece di aprire il browser completo. Non è detto che ogni scenario descritto per il browser desktop si replichi identico su WebView, ma in un controllo serio WebView va aggiornato insieme a Chrome. Fare metà manutenzione è una forma molto elegante di autosabotaggio.
Procedura: cosa controllare subito
- Apri il Play Store e cerca Google Chrome. Se vedi “Aggiorna”, installa l’update e riavvia il browser.
- Cerca anche Android System WebView e aggiorna il componente se disponibile. Su alcuni dispositivi il pacchetto può essere gestito dal produttore o integrato nel canale Chrome.
- Controlla eventuali browser Chromium alternativi: Edge, Brave, Vivaldi, Opera, Samsung Internet se installato. Aggiorna tutto, non solo il browser predefinito.
- In Chrome vai su Impostazioni, Privacy e sicurezza, Navigazione sicura e verifica che sia almeno attiva la protezione standard. La protezione avanzata può ridurre il rischio su siti malevoli noti, ma non è una patch.
- Chiudi le schede non necessarie e riavvia il telefono dopo gli aggiornamenti. Non è magia, ma elimina sessioni e processi pendenti che non hanno motivo di restare vivi.
- Se usi un browser Chromium secondario solo “per provare”, valuta di disinstallarlo finché il quadro non è più chiaro. Meno browser installati, meno motori da mantenere.
Cosa cambia davvero
Il punto tecnico è che Browser Fetch nasce per una funzione legittima: consentire download lunghi in background. Il problema, secondo la ricerca citata da Ars, è che un sito malevolo può abusarne per mantenere connessioni persistenti e usare il browser come proxy o come tassello in traffico distribuito. Non significa che l’attaccante legga automaticamente le tue password o entri nel file system del telefono. Significa però che un componente fidato, il browser, può essere piegato a fare traffico per conto di altri. È una differenza importante: meno cinematografica, più sistemistica, quindi più fastidiosa.
Per chi usa Android il rischio pratico non è “butta il telefono”, ma “non trattare il browser come una scatola neutra”. Chrome è ormai una piattaforma dentro la piattaforma: gestisce login, pagamenti, passkey, web app, permessi sito, notifiche, download e integrazioni AI. Quando una falla vive a quel livello, il controllo non passa da un singolo antivirus miracoloso, ma da manutenzione, aggiornamenti rapidi e riduzione delle superfici inutili.
Problemi e soluzioni
Non vedo aggiornamenti per Chrome. Controlla di non avere aggiornamenti Play Store in coda, poi riavvia e riprova. Le release Google arrivano spesso a scaglioni: il post Chrome Releases del 20 maggio parla proprio di distribuzione a una piccola percentuale di utenti prima dell’arrivo più ampio su Google Play.
Uso Brave o Edge: devo preoccuparmi? Sì, nel senso tecnico corretto: se il browser è basato su Chromium, va aggiornato appena il vendor pubblica una versione corretta. Non serve panico, serve inventario. Apri il Play Store, aggiorna il browser e controlla nelle impostazioni dell’app la versione installata.
Posso disattivare Browser Fetch da Android? Per l’utente normale non c’è un interruttore stabile e universale da consigliare. Alcuni flag sperimentali possono cambiare nel tempo e creare più confusione che beneficio. Su un telefono di produzione la procedura sensata è aggiornare, evitare siti dubbi, limitare notifiche e permessi dei siti, e usare un browser alternativo non Chromium solo se sai accettarne differenze e compatibilità.
Come capisco se sono stato colpito? Qui arriva la parte antipatica: non c’è un indicatore semplice. Consumi anomali di batteria o traffico dati possono essere segnali, ma sono generici. Controlla Impostazioni, Rete e Internet, Uso dati app, poi verifica Chrome e gli altri browser. Se un browser che non usi quasi mai consuma parecchio traffico in background, vale la pena revocare permessi, svuotare dati sito o disinstallarlo.
Checklist AndroidLab
- Aggiorna Chrome, WebView e tutti i browser Chromium installati.
- Controlla la versione di Chrome: il canale citato da Google è Chrome 149 per Android, ma non dare per scontato che coincida con una patch Browser Fetch.
- Rimuovi browser duplicati che non usi.
- Disattiva notifiche e permessi dei siti che non riconosci.
- Controlla traffico dati e batteria dei browser nelle ultime 24-48 ore.
- Per attività sensibili, evita siti non necessari finché Google e vendor non chiariscono la correzione.
Correlato: se stai già ragionando su Chrome come piattaforma più che come semplice app, ha senso leggere anche la guida AndroidLab su Gemini in Chrome su Android, perché il tema è lo stesso: più funzioni dentro il browser significano più comodità, ma anche più punti da verificare.
In breve
- La vulnerabilità Browser Fetch è stata descritta da Ars Technica il 20 maggio 2026 e rilanciata da Android Authority il 21 maggio.
- Coinvolge browser basati su Chromium e può creare connessioni persistenti sfruttabili come proxy o traffico distribuito.
- Su Android bisogna aggiornare sia Chrome sia Android System WebView, oltre agli eventuali browser Chromium alternativi.
- Google ha pubblicato Chrome 149 per Android in early stable, ma il changelog pubblico non conferma una patch specifica per questa falla.
- La difesa pratica è manutenzione aggressiva: update, meno browser inutili, permessi sito puliti e controllo del traffico dati.