Google ha lanzado una actualización de seguridad crítica para el canal estable de Chrome, abordando dos vulnerabilidades de alta gravedad que exponen a los usuarios a posibles ataques de ejecución arbitraria de código (ACE) y denegación de servicio (DoS). La actualización eleva la versión del navegador a 144.0.7559.132/.133 para Windows y macOS, y 144.0.7559.132 para Linux. El gigante tecnológico confirmó que el despliegue se realizará en los próximos días. Detalles de las vulnerabilidades: - CVE-2024-7971: Una vulnerabilidad de tipo *use-after-free* en el motor V8 de JavaScript, que podría permitir a un atacante ejecutar código arbitrario en el contexto del navegador. - CVE-2024-7965: Un fallo de corrupción de memoria en el componente *Dawn* (WebGPU), que podría provocar un bloqueo del sistema o la ejecución de código malicioso. Google recomienda a los usuarios actualizar Chrome inmediatamente para mitigar estos riesgos. La compañía no ha revelado más detalles técnicos para evitar que los atacantes exploten las vulnerabilidades antes de que la mayoría de los usuarios apliquen el parche. 

Google ha lanzado una actualización de seguridad crítica para el canal Stable de Chrome, solucionando dos vulnerabilidades de alta gravedad que exponen a los usuarios a posibles ataques de ejecución arbitraria de código (ACE) y denegación de servicio (DoS).

La actualización eleva la versión del navegador a 144.0.7559.132/.133 para Windows y macOS, y 144.0.7559.132 para Linux.

El gigante tecnológico confirmó que el despliegue se realizará en los próximos días y semanas. Estos parches abordan específicamente problemas de corrupción de memoria en el motor JavaScript del navegador y en las bibliotecas de procesamiento de vídeo.

La actualización resuelve dos fallos de seguridad específicos, ambos clasificados como de “Alta” gravedad. La explotación exitosa de estas vulnerabilidades suele requerir que un usuario visite un sitio web especialmente diseñado, lo que puede activar el exploit dentro del proceso de renderizado del navegador.

CVE-2026-1862: Confusión de tipo en V8

El fallo más significativo se encuentra en V8, el motor de JavaScript y WebAssembly de alto rendimiento de código abierto de Google. Las vulnerabilidades de confusión de tipo ocurren cuando el motor es engañado para acceder a un recurso de memoria usando un tipo incompatible, por ejemplo, tratando un entero como un puntero.

Los atacantes suelen aprovechar los errores de confusión de tipo en V8 para manipular punteros de memoria. Esta manipulación les permite leer o escribir memoria fuera de los límites, lo que podría llevar a la ejecución arbitraria de código dentro del entorno sandbox. Esta vulnerabilidad fue reportada por el investigador Chaoyuan Peng (@ret2happy).

CVE-2026-1861: Desbordamiento de búfer en el heap de libvpx

La segunda vulnerabilidad reside en libvpx, la biblioteca de software de referencia para los formatos de codificación de vídeo VP8 y VP9. Un desbordamiento de búfer en el heap ocurre cuando un proceso intenta escribir más datos en un búfer de memoria de longitud fija de los que puede contener.

En este contexto, un atacante podría incrustar un flujo de vídeo malformado en una página web. Cuando Chrome intenta procesar este vídeo usando libvpx, el desbordamiento podría corromper la memoria adyacente en el heap. Esto suele resultar en un bloqueo del navegador (DoS), pero también puede encadenarse con otros exploits para lograr la ejecución de código.

Mitigaciones

Google no ha revelado si estos exploits están siendo utilizados actualmente en la naturaleza (estado de día cero), manteniendo los detalles de los errores restringidos hasta que la mayoría de los usuarios hayan actualizado. Sin embargo, dada la naturaleza de las vulnerabilidades en V8 y los desbordamientos de búfer, el riesgo de que sean aprovechados sigue siendo alto.

Se recomienda a los administradores de sistemas y usuarios que actualicen de inmediato. Para verificar la instalación:

1. Abre Chrome y ve a Menú > Ayuda > Acerca de Google Chrome.
2. Asegúrate de que el navegador busque actualizaciones y reinícialo para aplicar la versión 144.0.7559.132 o posterior.