È disponibile VLC 3.0.24, un aggiornamento del celebre lettore multimediale che corregge oltre 130 problemi di sicurezza. VideoLAN, l'associazione no profit che sviluppa il programma, ha pubblicato la nuova versione il 22 settembre 2026 con il nome in codice "Vetinari". Le correzioni riguardano sia VLC sia le librerie che il player porta con sé, a partire da FFmpeg, che fa un salto di quattro generazioni: dalla 4.4 alla 8.1.2.
VLC è installato su milioni di PC Windows, Mac e computer Linux, anche in Italia. Un lettore multimediale apre di continuo file scaricati da internet, ricevuti via chat o copiati da chiavette USB: per questo i difetti nei decoder video e audio sono tra i punti deboli più sfruttati. Ecco cosa si sa dell'aggiornamento e cosa conviene fare.
Quali falle chiude VLC 3.0.24?
Nelle note di rilascio VideoLAN parla genericamente di "oltre 130" correzioni di sicurezza, senza un elenco dei singoli difetti. Secondo il sito specializzato Linuxiac si tratta in buona parte di errori nella gestione della memoria, come letture e scritture fuori dai limiti, overflow di interi e uso di memoria già liberata (use-after-free).
Nel caso peggiore, errori di questo tipo permettono a un file video o audio costruito ad arte di mandare in crash il programma o di eseguire codice sul computer. Al momento non risulta che le falle siano state sfruttate in attacchi reali. Sulla pagina ufficiale dei bollettini di sicurezza di VideoLAN, al momento della nostra verifica, non era ancora presente una scheda dedicata alla 3.0.24 con i codici CVE.
Buona parte delle correzioni deriva dall'aggiornamento di FFmpeg. La versione 4.4 usata finora in VLC 3 è vecchia di diversi anni e molti difetti scoperti nel frattempo non erano mai stati corretti nel ramo 3.0 del player. VideoLAN ringrazia i ricercatori di sicurezza esterni e il progetto OSS-Fuzz di Google, che analizza automaticamente il software open source alla ricerca di errori.
Le altre novità della versione
Oltre alla sicurezza, la 3.0.24 introduce alcune funzioni e ne elimina altre ormai superate:
| Area | Cosa cambia |
|---|---|
| Formati | Decodifica ATRAC3 e ATRAC9, sottotitoli CEA-708 nei file MP4 |
| Rete | Modalità listener per SRT, autenticazione SFTP con chiave pubblica, supporto RIST migliorato |
| Windows | Meno crash audio, correzioni per Direct3D11, stop all'avvio lento durante il cambio dell'ora, acquisizione NV12 via DirectShow |
| macOS | Risolto il crash del sintetizzatore MIDI (AudioToolbox) da macOS 26 in poi |
| Sottotitoli | Riconoscimento della lingua più preciso, gestione WebVTT migliorata |
| Aggiornamenti | Verifica della firma con una nuova chiave RSA-4096 |
| Rimosso | Plug-in NPAPI per browser, script YouTube non più funzionante, RealRTSP |
La correzione sull'avvio lento arriva al momento giusto per chi usa Windows: in Italia si torna all'ora solare nella notte tra il 24 e il 25 ottobre 2026. Chi apriva i link di YouTube direttamente in VLC, invece, dovrà trovare un'alternativa: lo script che se ne occupava non funzionava più ed è stato eliminato.
Come aggiornare VLC
- Windows e macOS: si può usare la ricerca aggiornamenti interna al programma (su Windows dal menu Aiuto; le voci possono variare in base alla versione e alla lingua) oppure scaricare l'installer dal sito ufficiale videolan.org.
- Linux: tramite i repository della distribuzione, appena ricevono il pacchetto, oppure con Flatpak.
- Smartphone e tablet: le app VLC per Android e iOS hanno una numerazione separata e si aggiornano dagli store.
Un consiglio pratico: scaricare VLC solo da videolan.org. Nei risultati sponsorizzati dei motori di ricerca compaiono periodicamente siti che imitano quello ufficiale e distribuiscono installer modificati, uno schema simile a quello del falso sito del Servizio sanitario nazionale che diffondeva malware. Le informazioni di questo articolo si basano sulle note di rilascio ufficiali: non abbiamo installato l'aggiornamento in redazione.
Chi c'è dietro l'aggiornamento
VideoLAN cita espressamente il Sovereign Tech Fund, programma della Sovereign Tech Agency tedesca, finanziata dal governo federale per sostenere la sicurezza e la manutenzione del software open source considerato infrastruttura digitale. È un esempio di come denaro pubblico europeo finisca in strumenti usati ogni giorno anche da utenti italiani.
Il ramo 3.0 resta quindi quello da usare ogni giorno: VLC 4, atteso da anni, non è ancora disponibile in versione stabile e le note della 3.0.24 non ne parlano.
Domande frequenti
Bisogna installare subito VLC 3.0.24?
Sì, è consigliabile. Oltre 130 correzioni di sicurezza sono un numero insolitamente alto, e un lettore multimediale apre spesso file di provenienza sconosciuta.
Ci sono attacchi noti che sfruttano queste falle?
VideoLAN non ha comunicato nulla in merito. Al momento della pubblicazione non era disponibile un bollettino con i codici CVE.
Le impostazioni restano dopo l'aggiornamento?
La 3.0.24 è un aggiornamento di manutenzione del ramo 3.0, quindi di norma preferenze e playlist restano. Spariscono solo le funzioni rimosse, come lo script per YouTube e il plug-in per browser.
VLC 3.0.24 vale anche per l'app su smartphone?
No. Le app per Android e iOS seguono una numerazione diversa e ricevono gli aggiornamenti tramite Google Play e App Store.
Immagine di copertina: VideoLAN / Blender Foundation, Wikimedia Commons, GPLv2 / CC BY 4.0 (schermata di una versione precedente di VLC 3).
