Il browser più sicuro del 2026? Chrome, Edge, Opera, Brave, Firefox e Safari in numeri – tre motori, 15 zero-day

Sul desktop hai le icone di sei browser. Chrome, Edge, Opera, Brave, Firefox, Safari. Una scelta da supermercato. Il problema è che sotto il cofano ci sono solo tre motori – e sono loro, non il logo, a decidere se qualcuno si prende il tuo portatile dopo un clic su un link. 💥

Quest’anno Google ha già corretto sette falle in Chrome sfruttate attivamente negli attacchi prima che qualcuno le chiudesse. Ognuna di queste c’era anche in Edge, Opera e Brave, perché il codice è lo stesso. Quindi la domanda non è “qual è il browser più sicuro”, ma “quale motore, con che velocità viene patchato e da chi”. L’ho calcolato con i numeri del 2025 e del 2026.

Tre motori, ovvero perché la “scelta del browser” è in gran parte un’illusione

Il motore del browser è la parte che legge l’HTML, esegue il JavaScript e disegna la pagina. In parole semplici: è lui che riceve il codice di un sito che non conosci e deve eseguirlo in modo che non ti succeda nulla. Tutti gli exploit per browser che conosco puntano proprio lì.

E qui una sorpresa per i lettori non tecnici: i motori sono tre. Tutto il resto è skin, impostazioni della privacy e barra degli indirizzi.

Cosa significa in pratica? Che quando Google annuncia “esiste in circolazione un exploit per CVE-2026-xxxxx”, la stessa falla c’è per otto utenti di internet su dieci. Non solo in Chrome. In Edge, in Opera, in Brave, in Samsung Internet sul telefono di tua madre e in ogni app desktop costruita su Electron (Slack, Teams, Discord, VS Code).

Su iPhone è ancora più interessante: “Chrome su iOS” è in realtà WebKit con il logo di Chrome, perché Apple fino al 2024 non ammetteva altri motori, e dopo le modifiche imposte nell’UE dal DMA nessuno ha comunque rilasciato lì il proprio. Quindi iPhone = WebKit, punto.

Lezione n. 1: confrontare “Opera con Brave” dal punto di vista degli exploit è come confrontare due vernici sulla stessa auto. La vera domanda è: quanto velocemente un produttore ti fa arrivare le patch di Chromium e cosa ci aggiunge di suo.

Zero-day, ovvero cosa viene davvero attaccato

Uno zero-day è una falla che i criminali sfruttano prima che il produttore rilasci la patch. Per un browser è lo scenario peggiore: entri in un sito e qualcuno esegue codice sul tuo computer. Senza cliccare “scarica”, senza “esegui”.

Il Google Threat Intelligence Group nel suo report annuale “Look What You Made Us Patch” ha contato 90 zero-day sfruttati nel 2025 (78 nel 2024, record di 100 nel 2023). E qui una notizia importante: ai browser ne sono toccati solo 8, meno del 10% – trend in calo per il terzo anno consecutivo. Gli attaccanti si sono spostati sui sistemi operativi (39 zero-day), sui dispositivi di frontiera e sulle appliance (48% del totale, record). Per la prima volta sono stati attribuiti più zero-day ai produttori commerciali di spyware (CSV) che ai gruppi di spionaggio statali.

E ora, vediamo com’è la situazione per i singoli motori.

Chrome: 15 zero-day in 21 mesi

Otto nel 2025 e sette fino al 9 settembre 2026. Quasi tutti nello stesso punto: V8, cioè il motore JavaScript (type confusion, out-of-bounds, use-after-free), più la grafica (Skia, ANGLE, Dawn/WebGPU) e due fughe dalla sandbox. La maggior parte li ha trovati il Google Threat Analysis Group, che segue i produttori di spyware. Il primo zero-day del 2025 (CVE-2025-2783) l’ha segnalato Kaspersky – era stato usato nell’operazione di spionaggio “ForumTroll” contro media e università russe, e l’attacco partiva da un solo clic su un link in una mail.

Significa che Chrome è un colabrodo? No. Significa che è il bersaglio più grande del mondo e allo stesso tempo ha più persone che questi attacchi li scoprono. Se il 79% del mercato ce l’avesse Firefox, gli stessi team li troverebbero in SpiderMonkey. Per te come utente Chromium, però, questo vuol dire una cosa: il ritmo degli aggiornamenti deve essere settimanale, perché gli attaccanti non aspettano.

Safari e WebKit: pochi, ma “estremamente sofisticati”

Apple usa sempre la stessa formula: “potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specifici”. È il nome in codice per lo spyware commerciale tipo Pegasus o Graphite. Nel 2025 di queste patch in WebKit ne abbiamo ricevute tre, a dicembre due insieme – e CVE-2025-14174 è lo stesso bug che Google aveva corretto in Chrome due giorni prima (nella libreria condivisa ANGLE). Marzo 2026 ha portato l’exploit kit “DarkSword”, descritto contemporaneamente da iVerify, Lookout e Google TIG, e l’aggiornamento di agosto Safari 26.6.1 ha chiuso 21 falle solo in WebKit.

Conclusione: l’utente Safari finisce più raramente nelle statistiche, ma quando ci finisce, lo fa come bersaglio di una spia statale o mercenaria. Per un’azienda normale il rischio è basso, per un avvocato, un giornalista o un consiglio di amministrazione è un’altra storia. Per questo Apple ha la Lockdown Mode, una modalità che disattiva pezzi di WebKit in cambio di sicurezza.

Firefox: il meno attaccato, non vuol dire non attaccato

SecurityWeek ha calcolato che nell’ultimo decennio in Firefox sono state sfruttate negli attacchi circa una dozzina di falle. A marzo 2025 Mozilla, due giorni dopo Google, ha corretto CVE-2025-2857 – un pattern di bug identico nel codice IPC che in Chrome veniva sfruttato proprio in quel momento (Mozilla non ha confermato attacchi a Firefox). A maggio 2025 al Pwn2Own Berlin due ricercatori hanno bucato Firefox (renderer, senza fuga dalla sandbox) – Mozilla ha rilasciato la correzione lo stesso giorno. A luglio 2026 sono comparsi due bug (CVE-2026-15718/15719) con exploit pubblico, ma senza attacchi in circolazione.

La piccola quota di mercato qui è paradossalmente un vantaggio: nessuno investe in un exploit per il 3% del mercato, se lo stesso budget può dare il 79%. L’eccezione è Tor Browser (costruito su Firefox) – lì gli exploit compaiono, perché il bersaglio è preciso.

Lezione n. 2: il numero di zero-day misura l’attrattività del bersaglio e la vigilanza dei difensori, non la qualità del codice. Ma il fatto che il tuo motore sia il bersaglio numero uno è una realtà con cui devi convivere – e da cui deriva tutto il resto di questo articolo.

CVE: numeri che quasi tutti leggono al contrario

Sui forum torna ogni anno la “classifica dei browser più bucati”, fatta con un metodo semplice: conta i CVE. Facciamolo, e poi ti mostro perché nel 2026 questo metodo è definitivamente morto.

Chrome 149 e 150 insieme hanno corretto 1072 bug di sicurezza – più delle 23 versioni precedenti messe insieme. Da aprile 2026 Google ha rilasciato oltre 1400 correzioni. Cos’è successo? Google ha scatenato sul proprio codice agenti AI (Big Sleep di DeepMind e Project Zero, CodeMender) che ogni giorno passano al setaccio ogni modifica. Risultato: entro marzo 2026 Google ha ricevuto più segnalazioni che in tutto il 2025, ad aprile ha abbassato le ricompense bug bounty per i bug semplici e ora testa due aggiornamenti di sicurezza a settimana, perché uno a settimana non basta più.

E ora una domanda ai fan del conteggio dei CVE: Chrome nel 2026 è diventato sei volte meno sicuro che nel 2025? Ovviamente no. È stato setacciato sei volte più a fondo. Il numero di CVE misura l’intensità della ricerca, non il numero di falle. Firefox con 187 CVE non è “bucato quasi quanto Chrome” – ha semplicemente un processo di segnalazione onesto e pubblico. E Safari con qualche decina di CVE non è tre volte migliore – Apple semplicemente dice meno e più tardi.

C’è però un numero che da anni non cambia e dice davvero qualcosa: circa il 70% dei bug gravi in Chromium sono errori di sicurezza della memoria (use-after-free, buffer overflow) – cioè i classici sbagli in C++. Il GTIG ha calcolato che nel 2025 il 35% di tutti gli zero-day sfruttati apparteneva proprio a questa categoria. Per questo tutti e tre investono nella stessa cosa: Firefox da anni integra Rust, Chrome ha MiraclePtr (trasforma un use-after-free in un normale crash), V8 Sandbox e nel 2026 ha portato il decoder PNG su Rust, e Apple nell’iPhone 17 ha introdotto la Memory Integrity Enforcement a livello hardware.

Lezione n. 3: se qualcuno ti vende un browser con lo slogan “abbiamo meno CVE”, chiedi quante persone quei CVE li cercano. Il silenzio nel database NVD è più spesso assenza di audit che assenza di bug.

Quanto velocemente patchano – l’unica metrica che appenderei al muro

Lo zero-day è un problema del produttore. Ma dal momento della pubblicazione della patch il bug diventa un n-day, cioè una falla che ormai conosce tutto il mondo, mentre tu non l’hai ancora chiusa. Chromium è open source: nell’istante in cui la correzione finisce nel repository, chiunque può analizzarla al contrario e scrivere un exploit. Per questo il ritmo è tutto.

I dati più solidi li ha forniti Project Zero in un’analisi del 2022 (segnalazioni degli anni 2019-2021): Chrome impiegava in media 30 giorni dalla segnalazione al rilascio della correzione, Firefox 38, WebKit 73. Più interessante era quello che c’era dentro: Chrome aveva la patch pronta nel codice già dopo circa 5 giorni, e poi aspettava il rilascio per la maggior parte di quei 30 giorni. Google ne ha tratto le conclusioni – da agosto 2023 (Chrome 116) gli aggiornamenti di sicurezza escono ogni settimana, cosa che ha ridotto il “patch gap” da circa 15 giorni di altri 3,5 giorni. Nel 2026, come ho scritto sopra, sta sperimentando due rilasci a settimana.

Nei pentest la vedo così: scansiono la rete del cliente, estraggo le versioni dei browser dagli header User-Agent e quasi sempre trovo due-tre postazioni con un browser vecchio di qualche mese, perché “qualcuno non ha riavviato dalle vacanze”. Nella famiglia Chromium ogni postazione del genere si porta dietro tutti gli zero-day dell’anno. A quel punto non mi serve un exploit da un milione, basta aspettare che qualcuno clicchi.

Lezione n. 4: in azienda non scegli un “browser sicuro”. Scegli quello che sai imporre nella versione aggiornata tramite policy (GPO/Intune/MDM) su tutte le postazioni. Per il business si riduce a Chrome o Edge con policy di aggiornamento automatico e riavvio forzato, eventualmente Firefox ESR.

Quanto è grande il team di sicurezza? Nessuno lo dice, ma il portafoglio parla

Ho cercato numeri aggiornati e lo dico onestamente: nessuno dei tre produttori pubblica le dimensioni del team di sicurezza del browser. Gli ultimi numeri pubblici sono vecchi (Chrome parlava di circa 20 ingegneri nel 2013, Mozilla di circa 80 persone volontari compresi nel 2008) e oggi non significano nulla. Ci sono però tre indicatori sostitutivi che dicono qualcosa: quanto pagano i ricercatori, chi trova i loro bug e cosa è successo alle persone.

Su Opera aggiungo una cosa che ripeto sempre ai clienti: i suoi ritardi nelle patch sono un problema tecnico, misurabile in giorni. Il fatto invece che un browser con una “VPN” integrata (in pratica un proxy) appartenga per due terzi a una società di Pechino è una domanda che dovrebbe porre l’ufficio compliance, non un pentester. Opera sostiene che il proprietario non ha accesso ai dati degli utenti. Io non ho modo di verificarlo – ed è tutta qui la risposta.

Lezione n. 5: la sicurezza di un motore si compra con i soldi e con l’apertura. Google ha più del primo, Mozilla più del secondo, Apple ha i soldi e il silenzio. I produttori su Chromium non hanno un motore – hanno un orologio.

Dove si perdono davvero i soldi: estensioni e infostealer

Ora una doccia fredda per tutti quelli che sono arrivati fin qui per scegliere il “motore più sicuro”. Nei miei incarichi vedo raramente un exploit per browser. Quello che incontro di continuo è:

• Infostealer, cioè malware che semplicemente legge password, cookie e sessioni salvati nel browser. Flashpoint ha calcolato che nella prima metà del 2025 hanno rubato 1,8 mld di credenziali da 5,8 mln di dispositivi, e in tutto il 2025 hanno infettato oltre 11 mln di dispositivi. Verizon nel report DBIR 2025 ha mostrato che il 54% delle vittime di ransomware aveva in precedenza i propri domini nei log degli infostealer. Un infostealer non ha bisogno di uno zero-day. Ha bisogno che tu installi il “crack di Photoshop”.
• Estensioni malevole. A luglio 2025 Koi Security ha trovato 18 estensioni negli store di Chrome ed Edge (colori, VPN, emoji, “dark mode”), installate 2,3 mln di volte, che in silenzio hanno ricevuto un aggiornamento malevolo. Sei mesi prima un phishing contro gli sviluppatori di estensioni aveva compromesso alcune decine di estensioni per circa 2,6 mln di utenti. Il motore qui non c’entra nulla: l’estensione ha permessi ufficiali per leggere ogni pagina.
• Phishing e ClickFix, cioè la pagina che ti chiede di incollare qualcosa nel terminale. Funziona allo stesso modo in Safari, Chrome e Firefox, perché attacca la persona.

Lezione n. 6: la scelta del motore decide se qualcuno prende il controllo del tuo computer senza il tuo aiuto. Se lo prende con il tuo aiuto, lo decidono le policy: divieto di salvare le password nel browser (password manager), whitelist delle estensioni e MFA che non si può rubare da un cookie.

Sette leggi della sicurezza dei browser (versione 2026)

1. Non scegli un browser, scegli un motore e un orologio. Blink, WebKit o Gecko – e chi ti consegna le patch.
2. Un browser di un mese fa è un browser con la collezione completa degli zero-day dell’anno. Aggiornamenti automatici più riavvio forzato sono un obbligo, non un’opzione.
3. Il numero di CVE misura l’audit, non quanto è bucato. 429 patch in Chrome 149 sono una buona notizia.
4. Uno zero-day in Chrome è uno zero-day in Edge, Opera, Brave e Teams. Controlla quando il tuo produttore lo ha consegnato.
5. Se sei un bersaglio dello spyware, usa la modalità rafforzata (Lockdown Mode in Safari, Enhanced Protection in Chrome, Edge con JIT disattivato) e mettiti in conto che i siti potrebbero funzionare peggio.
6. Le estensioni sono codice con permessi su tutto. In azienda: whitelist o niente.
7. Le password nel browser sono un regalo per l’infostealer. Password manager e MFA resistente al phishing (chiavi/passkey), perché quelle non si possono portare via in un log.

Riepilogo: cosa sceglierei io

Da pentester, non da fan di qualche logo:

• Azienda, postazioni gestite: Chrome o Edge con policy di aggiornamento – il motore più studiato, le patch più veloci, il maggior numero di strumenti di gestione. Firefox ESR, se ti interessa avere un secondo motore in azienda.
• Privacy e “bersaglio più piccolo”: Firefox – con piena consapevolezza che su alcune piattaforme la sua sandbox è meno matura di quella di Chromium e che Mozilla ha una frazione del budget di Google. Brave, se vuoi il blocco del tracciamento su motore Chromium.
• Ecosistema Apple: Safari, tanto su iPhone non hai un altro motore. Per le persone ad alto rischio: Lockdown Mode.
• Cosa evitare: browser che arrivano in ritardo con le patch di Chromium, tutto ciò che è a fine supporto e qualsiasi browser in cui tieni le password senza MFA.

La cosa più importante: non esiste una classifica del “browser più sicuro del 2026” che sopravviva una settimana. Esiste un ritmo: motore, patch, policy, persone. Se vuoi verificare com’è questo ritmo da te – dalle versioni dei browser sulle postazioni fino a capire se le credenziali dei tuoi dipendenti girano già nei log degli infostealer – è esattamente il tipo di cosa che controllo nei miei test di sicurezza. Il preventivo te lo fai da solo con il calcolatore. ✔️

Fonti

• StatCounter Global Stats – Browser Market Share (agosto/settembre 2026)
• Google Threat Intelligence Group – Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer – Google patches seventh Chrome zero-day exploited in attacks this year (set. 2026)
• BleepingComputer – Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek – Chrome 149 Patches 429 Vulnerabilities
• Project Zero – A walk through Project Zero metrics
• Google Security Blog – An update on Chrome Security Updates (weekly)
• Chromium Projects – Memory safety
• SecurityWeek – Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs – Apple doubles maximum bug bounty to $2M
• The Hacker News – Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic – Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog – Firefox Security Response to pwn2own 2025
• SecurityWeek – Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla – Bug Bounty Hall of Fame
• ZDI – Pwn2Own Berlin 2025: Day Three Results
• ZDI – Pwn2Own Berlin 2026: Day Two Results
• Intego – 2nd Chrome zero-day patched in 5 days (ritardi di Opera)
• Cyber Security News – Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch – Chrome, Firefox, Safari – numero di CVE per anno (NVD)
• SecurityWeek – Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer – Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia – Opera (company) e SEC Schedule 13D/A, Opera Ltd (2026)