Google lanza parche de emergencia para Chrome al detectar el cuarto cero-día explotado en 2026, una vulnerabilidad crítica usada en ataques activos.

Chrome encadena ya cuatro vulnerabilidades de día cero explotadas en lo que va de 2026 y Google se ha visto obligada a publicar otra actualización de emergencia para su navegador de escritorio.

El último fallo, oculto en el motor gráfico WebGPU, se está utilizando en ataques reales y obliga a usuarios y empresas a actuar con rapidez si no quieren dejar la puerta abierta a código malicioso en sus equipos.

Un nuevo cero-día en el corazón gráfico de Chrome

El protagonista de este nuevo episodio es CVE‑2026‑5281, un error de memoria de alta gravedad en Dawn, la implementación de WebGPU que Chrome usa para manejar gráficos y cargas de trabajo aceleradas.

Significa que el navegador intenta acceder a zonas de memoria que ya no debería tocar. Con una página diseñada para ello, un ciberdelincuente puede aprovechar ese comportamiento para ejecutar instrucciones que nunca tendrían que salir de la pestaña.

Google reconoce que este fallo no es menor y que hay exploits circulando que lo aprovechan en navegadores sin actualizar, lo que convierte el parche en algo más que un mantenimiento.

Una web maliciosa o comprometida puede desencadenar el bug desde el renderizador y, combinando esta vulnerabilidad con otras técnicas conocidas, llegar a romper el sandbox de Chrome y escalar el ataque al sistema operativo.

Qué ha hecho Google y qué versión necesitas

Es importante saber que para cerrar la vulnerabilidad, Google ha publicado una nueva versión estable de Chrome para escritorio: 146.0.7680.177/178 en Windows y macOS, y 146.0.7680.177 en Linux.

El paquete incluye la corrección de CVE‑2026‑5281 junto a una veintena de vulnerabilidades adicionales, varias de ellas catalogadas también como de alta gravedad.

Cabe señalar que el despliegue de la versión se está propagando de forma progresiva, pero cualquier usuario puede forzar la actualización desde el propio navegador.

Como es habitual en estos casos, el equipo de Chrome ha decidido no publicar por ahora detalles técnicos completos del fallo ni posibles pruebas de concepto.

Y es que cuanta más información haya antes de que la mayoría de usuarios esté parcheada, más fácil se lo pone a quienes aún estén intentando exprimir la vulnerabilidad en campañas de ciberataques.

Cuatro cero-días en tres meses: un patrón que preocupa

Cabe destacar que el caso de CVE‑2026‑5281 no llega solo, ya que se trata del cuarto cero‑día que Chrome corrige este año tras confirmar explotación in the wild.

Antes de Dawn/WebGPU, 2026 ya venía marcado por un fallo en el manejo de características tipográficas CSS, otro en la librería gráfica Skia y un tercero en el motor JavaScript V8, todos ellos aprovechados por atacantes antes de que hubiera parche disponible.

Si se suma el historial reciente, la situación es más inquietante, puesto que en 2025 se contabilizaron ocho cero‑días explotados en Chrome; en poco más de un trimestre de 2026 ya vamos por cuatro.

No significa que el navegador sea más inseguro que otros, sino que su tamaño, complejidad y cuota de mercado lo convierten en un objetivo preferente para equipos que se dedican a cazar errores de día cero y revenderlos o emplearlos en campañas dirigidas.

Para los usuarios esto es relevante, y es que si Chrome no está al día, un simple paseo por una web comprometida puede ser suficiente para que se ejecute código no autorizado en su equipo.

Basta con no haber aplicado la última actualización de seguridad. Así que mantener el navegador actualizado se convierte en una política básica de seguridad digital.

En entornos corporativos, el impacto se multiplica, ya que Chrome es, en muchos casos, la puerta de entrada a aplicaciones internas, paneles de administración, herramientas SaaS y sistemas críticos.

Un cero‑día que permite escapar del sandbox no pone en riesgo solo una estación de trabajo, sino potencialmente toda una red si el atacante consigue moverse lateralmente.

Por eso, más allá de actualizar, las empresas necesitan saber qué versiones se ejecutan en su parque, definir ventanas de parcheo aceleradas y combinar el navegador con otras capas de defensa, desde políticas de contenido hasta soluciones de detección y respuesta.