El canal Stable se ha actualizado a la versión 146.0.7680.177/178 para Windows y Mac, y a la 146.0.7680.177 para Linux, con el despliegue esperado para llegar a todos los usuarios en los próximos días y semanas.

La vulnerabilidad explotada activamente, identificada como CVE-2026-5281, es un fallo de uso después de liberar (use-after-free) en la capa de abstracción de GPU multiplataforma de Dawn, utilizada para implementar WebGPU.

Los errores de uso después de liberar ocurren cuando un programa sigue haciendo referencia a memoria ya liberada, lo que potencialmente permite a los atacantes ejecutar código arbitrario o escapar del sandbox del navegador.

Google ha confirmado oficialmente la explotación activa, afirmando que "es consciente de que existe un exploit para CVE-2026-5281 en la naturaleza". El fallo fue descubierto y reportado por un investigador anónimo el 10 de marzo de 2026.

Los detalles técnicos y las especificaciones de la vulnerabilidad siguen restringidos hasta que la mayoría de los usuarios hayan recibido el parche, una práctica estándar que sigue Google para limitar la replicación de exploits.

Parche para 21 vulnerabilidades de seguridad

Más allá del zero-day, esta actualización incluye un amplio conjunto de 21 correcciones de seguridad, un lote inusualmente grande que señala una actividad interna significativa en materia de seguridad. De estas, 19 están clasificadas como de alta gravedad y abarcan una amplia gama de subsistemas de Chrome.

Las vulnerabilidades notables parcheadas en esta versión incluyen:

• CVE-2026-5273 — Uso después de liberar en CSS (reportado el 18 de marzo)
• CVE-2026-5272 — Desbordamiento de búfer en el montón en GPU (reportado el 11 de marzo)
• CVE-2026-5274 — Desbordamiento de enteros en Codecs (reportado el 1 de marzo)
• CVE-2026-5275 — Desbordamiento de búfer en el montón en ANGLE (reportado el 4 de marzo)
• CVE-2026-5276 — Aplicación insuficiente de políticas en WebUSB (reportado el 4 de marzo)
• CVE-2026-5278 — Uso después de liberar en Web MIDI (reportado el 6 de marzo)
• CVE-2026-5279 — Corrupción de objetos en V8 (reportado el 8 de marzo)
• CVE-2026-5280 — Uso después de liberar en WebCodecs (reportado el 11 de marzo)
• CVE-2026-5284 — Uso después de liberar en Dawn (reportado el 12 de marzo)
• CVE-2026-5285 — Uso después de liberar en WebGL (reportado el 13 de marzo)
• CVE-2026-5287 — Uso después de liberar en PDF (reportado el 21 de marzo)
• CVE-2026-5288 — Uso después de liberar en WebView (reportado por Google, el 23 de marzo)
• CVE-2026-5289 — Uso después de liberar en Navegación (reportado por Google, el 25 de marzo)
• CVE-2026-5290 — Uso después de liberar en Composición (reportado por Google, el 25 de marzo)

La gran concentración de errores de uso después de liberar en componentes como Dawn, WebGL, WebCodecs, Web MIDI, WebView, Navegación y Composición destaca los desafíos continuos en la seguridad de la memoria en los pipelines de renderizado del navegador.

Tres de los parches de alta gravedad fueron reportados directamente por los equipos internos de seguridad de Google, lo que sugiere que algunos fueron identificados mediante caza proactiva de amenazas en lugar de divulgación externa.

Todos los usuarios de Chrome que ejecuten versiones anteriores a la 146.0.7680.177 en Linux o la 146.0.7680.178 en Windows y Mac están potencialmente expuestos. Dada la explotación confirmada en la naturaleza de CVE-2026-5281, los usuarios empresariales y los equipos de seguridad deberían tratar esta actualización como un parche de prioridad crítica.

Para actualizar Chrome inmediatamente, ve a Menú (⋮) → Ayuda → Acerca de Google Chrome. El navegador buscará y aplicará automáticamente la última actualización, y luego te pedirá que lo reinicies para completar el proceso. Las organizaciones que gestionan implementaciones de Chrome mediante políticas deberían desplegar la actualización a través de sus plataformas de gestión de endpoints sin demora.