Google ha lanzado una importante actualización de seguridad para su navegador web Chrome, abordando 26 vulnerabilidades distintas que podrían permitir a atacantes no autenticados ejecutar código malicioso de forma remota.

La última actualización del canal Stable despliega las versiones 146.0.7680.153 y 146.0.7680.154 para Windows y macOS, mientras que los usuarios de Linux recibirán la versión 146.0.7680.153.

Este ciclo de parches críticos está diseñado para remediar múltiples fallos graves de corrupción de memoria que representan riesgos significativos tanto para usuarios individuales como para redes empresariales.

Adaptado a formatos estándar de informes de ciberseguridad, este desglose destaca las amenazas más graves mitigadas en esta versión.

Vulnerabilidades críticas y riesgos de ejecución remota de código (RCE)

El principal vector de amenaza de estas vulnerabilidades radica en cómo el navegador procesa contenido web especializado.

Al explotar fallos en componentes como WebGL, WebRTC y el motor JavaScript V8, los actores maliciosos pueden eludir los sandboxes de seguridad estándar del navegador.

La actualización aborda específicamente tres vulnerabilidades de severidad "Crítica", 22 fallos de severidad "Alta" y un problema de severidad "Media".

Estas vulnerabilidades consisten principalmente en errores clásicos de gestión de memoria, como condiciones de use-after-free, desbordamientos de búfer en el heap y accesos fuera de límites.

Cuando un atacante logra activar una de estas condiciones, normalmente engañando a una víctima para que visite una página web maliciosamente diseñada, puede escribir payloads directamente en la memoria del sistema y lograr la ejecución remota de código (RCE).

Aparte de los fallos críticos, las 22 vulnerabilidades de alta severidad afectan a una amplia gama de módulos centrales del navegador, incluyendo Blink, Network, WebAudio, Dawn y PDFium.

Destaca que un único investigador de seguridad, operando bajo el seudónimo "c6eed09fc8b174b0f3eebedcceb1e792", descubrió y reportó nueve problemas de alta severidad, además de una vulnerabilidad crítica.

Las vulnerabilidades de WebGL son particularmente peligrosas porque interactúan directamente con la unidad de procesamiento gráfico (GPU) del hardware, lo que podría permitir a los atacantes escapar de las restricciones del software.

De manera similar, el motor JavaScript V8 sigue siendo un objetivo de alto valor; vulnerabilidades como la confusión de tipos (CVE-2026-4457) permiten a los atacantes manipular cómo el motor maneja los tipos de objetos.

Google señaló que muchos de estos errores fueron identificados de manera proactiva durante el desarrollo utilizando herramientas avanzadas de prueba de memoria como AddressSanitizer, MemorySanitizer y libFuzzer.

Para mitigar el riesgo de compromiso del sistema, se recomienda encarecidamente a los usuarios y administradores de empresas que verifiquen sus versiones del navegador de inmediato.

Aunque Google está implementando la actualización de forma progresiva en los próximos días y semanas, las actualizaciones manuales proactivas pueden prevenir la explotación por parte de actores maliciosos oportunistas.

Como es práctica estándar, Google restringirá el acceso público a informes detallados de errores y cadenas de explotación hasta que una gran mayoría de la base de usuarios haya aplicado el parche con éxito.

Esta estrategia de divulgación retrasada evita con éxito que los actores maliciosos ingenien exploits de día cero dirigidos a sistemas que tardan en actualizarse.