Google ha lanzado una actualización de seguridad urgente para Chrome que soluciona 16 vulnerabilidades, incluyendo dos calificadas como críticas que podrían permitir a los atacantes ejecutar código arbitrario en los sistemas afectados. El canal estable se ha actualizado a las versiones 148.0.7778.178/179 para Windows y Mac, y 148.0.7778.178 para Linux.

Google ha lanzado una actualización de seguridad urgente para Chrome, solucionando 16 vulnerabilidades, incluyendo dos calificadas como Críticas, que podrían permitir a los atacantes ejecutar código arbitrario en los sistemas afectados.

El canal Estable ha sido actualizado a la versión 148.0.7778.178/179 para Windows y Mac, y a la 148.0.7778.178 para Linux; se espera que el despliegue se complete en los próximos días.

Vulnerabilidades Críticas de Chrome Solucionadas

Los dos fallos más graves cuentan con una calificación de severidad Crítica y fueron reportados internamente por Google el 20 de abril de 2026:

• CVE-2026-9111 — Una vulnerabilidad de uso posterior a la liberación (Use-After-Free) en WebRTC, que podría ser explotada para corromper la memoria y lograr la ejecución remota de código a través de una página web maliciosamente diseñada.
• CVE-2026-9110 — Un fallo de Implementación Inapropiada en la capa de interfaz de usuario (UI), que podría permitir a los atacantes eludir restricciones de seguridad o suplantar elementos de la interfaz del navegador.

Los errores de uso posterior a la liberación son particularmente peligrosos porque permiten que los actores de amenazas manipulen regiones de memoria ya liberadas, lo que a menudo conduce al compromiso total del sistema cuando se encadenan con éxito con otros exploits.

Vulnerabilidades de Severidad Alta Solucionadas

Más allá de los errores críticos, Google solucionó nueve fallos de severidad Alta que afectan a múltiples componentes:

CVE	Tipo	Componente	Recompensa
CVE-2026-9112	Use-After-Free	GPU	$11,000
CVE-2026-9113	Out-of-Bounds Read	GPU	$3,000
CVE-2026-9114	Use-After-Free	QUIC	N/A
CVE-2026-9115	Aplicación de Política Insuficiente	Service Worker	N/A
CVE-2026-9116	Aplicación de Política Insuficiente	ServiceWorker	N/A
CVE-2026-9117	Confusión de Tipos	GFX	N/A
CVE-2026-9118	Use-After-Free	XR	N/A
CVE-2026-9119	Desbordamiento de Búfer de Montículo (Heap Buffer Overflow)	WebRTC	N/A
CVE-2026-9120	Use-After-Free	WebRTC	N/A

El CVE-2026-9112 y el CVE-2026-9113 fueron revelados responsablemente por un investigador externo identificado como c6eed09fc8b174b0f3eebedcceb1e792, quien ganó un total de $14,000 en recompensas por errores.

Otras Soluciones de Severidad Media

Google también solucionó cinco problemas de severidad Media, incluyendo lecturas fuera de límites en la GPU (CVE-2026-9121, CVE-2026-9122 — acreditados a David Korczynski de Adalogics y al mismo investigador externo), un desbordamiento de búfer de montículo en Chromecast (CVE-2026-9123), una validación de entrada insuficiente (CVE-2026-9124) y un error de uso posterior a la liberación en DOM (CVE-2026-9126).

Mitigaciones

Google señala que los detalles del error permanecerán restringidos hasta que la mayoría de los usuarios hayan recibido el parche, reduciendo así el riesgo de explotación durante la ventana de despliegue.

Tú, como usuario o administrador, deberías tomar las siguientes medidas inmediatamente:

• Dirígete a chrome://settings/help y confirma que la versión de tu navegador sea 148.0.7778.178 o superior.
• Reinicia Chrome para aplicar cualquier actualización pendiente.
• Si eres administrador de una empresa, fuerza el despliegue de la actualización a través de las herramientas de gestión de políticas.
• Monitorea las notas de lanzamiento de Chrome y los avisos de la CISA para detectar cualquier indicador de explotación activa.

Fuentes:
https://cybersecuritynews.com/critical-chrome-rce-vulnerabilities/