Google ha lanzado Chrome 147 al canal estable para Windows, Mac y Linux, parcheando un amplio conjunto de vulnerabilidades de seguridad, incluyendo dos fallos de gravedad crítica que podrían permitir a atacantes remotos ejecutar código arbitrario en sistemas objetivo.

Las vulnerabilidades más graves en esta versión son CVE-2026-5858 y CVE-2026-5859, ambas con una calificación de gravedad Crítica y una recompensa de 43.000 dólares por cada una.

CVE-2026-5858 es un desbordamiento de búfer en el heap en la implementación de WebML de Chrome de la API Web Machine Learning, reportado por el investigador c6eed09fc8b174b0f3eebedcceb1e792 el 17 de marzo de 2026.

CVE-2026-5859 es un desbordamiento de enteros en WebML, reportado de forma anónima el 19 de marzo de 2026. Ambas vulnerabilidades pueden ser activadas mediante una página HTML especialmente diseñada, permitiendo a atacantes remotos corromper la memoria del heap y potencialmente lograr la ejecución de código arbitrario dentro del proceso del navegador.

WebML está diseñado para acelerar la inferencia de aprendizaje automático directamente en el navegador. Al procesar datos de tensores malformados o realizar operaciones de modelos de ML, la implementación no valida correctamente los límites de memoria, lo que permite a los atacantes escribir más allá de los búferes asignados, un precursor clásico de exploits de ejecución de código.

Vulnerabilidades de alta gravedad parcheadas

Además de los dos errores críticos, esta actualización aborda 14 CVEs de gravedad Alta que abarcan múltiples subsistemas del navegador:

• CVE-2026-5860 – Uso después de liberación en WebRTC (recompensa de 11.000 dólares)
• CVE-2026-5861 – Uso después de liberación en el motor JavaScript V8 (recompensa de 3.000 dólares)
• CVE-2026-5862 y CVE-2026-5863 – Implementación inapropiada en V8, reportadas internamente por Google
• CVE-2026-5864 – Desbordamiento de búfer en el heap en WebAudio, reportado por Syn4pse
• CVE-2026-5865 – Confusión de tipos en V8, reportado por Project WhatForLunch
• CVE-2026-5866 – Uso después de liberación en Media
• CVE-2026-5867 y CVE-2026-5869 – Desbordamientos de búfer en el heap en WebML
• CVE-2026-5868 – Desbordamiento de búfer en el heap en la capa gráfica ANGLE
• CVE-2026-5870 y CVE-2026-5871 – Desbordamiento de enteros en Skia y confusión de tipos en V8
• CVE-2026-5872 y CVE-2026-5873 – Uso después de liberación en Blink y lectura/escritura fuera de límites en V8

Los errores de uso después de liberación y confusión de tipos en V8 son particularmente peligrosos, ya que el entorno de ejecución privilegiado de V8 los convierte en vías viables para escapar del sandbox cuando se encadenan con exploits en el renderizador.

La versión también resuelve vulnerabilidades de gravedad Media y Baja, que cubren una amplia gama de subsistemas, incluyendo bypasses de políticas en Blink, LocalNetworkAccess, PWAs y ServiceWorkers; interfaces de seguridad incorrectas en modo pantalla completa, omnibox y UI del navegador; un fallo criptográfico en PDFium (CVE-2026-5889); una condición de carrera en WebCodecs; y validación insuficiente de entrada en Descargas, WebML y ANGLE.

Aunque son de menor urgencia, estos errores pueden permitir a los atacantes suplantar elementos de UI confiables, filtrar datos sensibles de navegación o eludir políticas de seguridad de contenido, complementando cadenas de exploits más graves.

Versiones afectadas y acción recomendada

Esta actualización aborda vulnerabilidades en versiones de Chrome anteriores a 147.0.7727.55 para Linux y 147.0.7727.55/56 para Windows y Mac. Debes actualizar inmediatamente yendo a Menú de Chrome → Ayuda → Acerca de Google Chrome.

La infraestructura de fuzzing de Google, incluyendo AddressSanitizer, MemorySanitizer, libFuzzer y AFL, fue fundamental para detectar muchos de estos errores antes de que pudieran ser explotados en la naturaleza.