Google ha lanzado una actualización de seguridad urgente para su navegador Chrome tras confirmar que dos vulnerabilidades zero-day de alta gravedad están siendo explotadas activamente. El canal estable se ha actualizado a la versión 146.0.7680.75/76 para Windows y macOS, y a la versión 146.0.7680.75 para Linux, con el despliegue previsto para llegar a los usuarios en los próximos días y semanas.

Google ha lanzado una actualización de seguridad urgente para su navegador Chrome tras confirmar que dos vulnerabilidades zero-day de alta gravedad están siendo explotadas activamente en la naturaleza.

El canal estable se ha actualizado a la versión 146.0.7680.75/76 para Windows y macOS, y 146.0.7680.75 para Linux, con el despliegue previsto para llegar a los usuarios en los próximos días y semanas.

Ambas vulnerabilidades fueron reportadas internamente por el propio equipo de seguridad de Google el 10 de marzo de 2026, y tienen una calificación de gravedad Alta, lo que subraya la seriedad de la amenaza para los usuarios de Chrome en todo el mundo.

CVE-2026-3909: Escritura fuera de límites en Skia

La primera falla, identificada como CVE-2026-3909, es una vulnerabilidad de escritura fuera de límites en Skia, el motor de gráficos 2D de código abierto que impulsa el pipeline de renderizado de Chrome.

Los errores de escritura fuera de límites son especialmente peligrosos porque permiten a los atacantes sobrescribir regiones de memoria adyacentes, lo que podría habilitar la ejecución de código arbitrario o provocar fallos en la aplicación.

Cuando se explota en el contexto de un navegador, este tipo de vulnerabilidad puede aprovecharse para eludir las protecciones de sandbox y ejecutar código malicioso en el sistema de la víctima.

CVE-2026-3910: Implementación inapropiada en V8

La segunda vulnerabilidad, CVE-2026-3910, implica una implementación inapropiada en V8, el motor de JavaScript y WebAssembly de alto rendimiento de Chrome.

Las fallas en V8 son un objetivo persistente para los actores de amenazas porque JavaScript se ejecuta constantemente durante la navegación web normal, creando abundantes oportunidades de explotación. Un atacante podría crear una página web maliciosa que, al ser visitada, active la falla para ejecutar código en el contexto del proceso del navegador.

Google ha confirmado explícitamente que existen exploits para ambas vulnerabilidades (CVE-2026-3909 y CVE-2026-3910) en la naturaleza, lo que convierte esta actualización en crítica tanto para individuos como para organizaciones.

Los detalles técnicos sobre los errores y cualquier entrada asociada en el rastreador de bugs permanecen restringidos hasta que una parte significativa de la base de usuarios haya aplicado el parche, una práctica estándar para evitar una mayor explotación antes de que los sistemas estén protegidos.

Medidas de mitigación

Los usuarios y administradores deben actualizar Chrome inmediatamente para mitigar la exposición. Para activar manualmente una actualización:

• Abre Chrome y ve a Menú → Ayuda → Acerca de Google Chrome
• Chrome buscará y aplicará automáticamente la última actualización
• Reinicia el navegador para completar la instalación

Las organizaciones que gestionan implementaciones de Chrome a través de políticas empresariales deben priorizar el despliegue de la versión 146.0.7680.75/76 en su entorno sin demora.

Dado el estado de explotación activa de ambas fallas, no es recomendable esperar al despliegue automático en entornos de alto riesgo.

Fuentes:
https://cybersecuritynews.com/chrome-zero-day-vulnerabilities-actively-exploited/