La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha emitido una advertencia urgente sobre una vulnerabilidad de día cero recientemente descubierta en Google Chromium, la cual está siendo explotada activamente. El fallo, identificado como CVE-2026-11645, afecta al motor de JavaScript V8 y podría permitir que atacantes ejecuten código arbitrario dentro del entorno aislado (sandbox) del navegador.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha emitido una advertencia urgente sobre una vulnerabilidad de día cero recién descubierta en Google Chromium que está siendo explotada activamente en el entorno real.

El fallo, identificado como CVE-2026-11645, afecta al motor de JavaScript V8 de Chromium y podría permitir que los atacantes ejecuten código arbitrario dentro de un sandbox del navegador.

Según CISA, la vulnerabilidad se deriva de un problema de lectura y escritura fuera de límites en el motor V8. Este componente central procesa JavaScript en los navegadores basados en Chromium.

El fallo está categorizado bajo CWE-787 (Escritura fuera de límites) y CWE-125 (Lectura fuera de límites), ambos comúnmente asociados con vulnerabilidades de corrupción de memoria que pueden aprovecharse para la ejecución de código.

La vulnerabilidad representa un riesgo significativo porque puede activarse de forma remota convenciendo a un usuario para que visite una página HTML maliciosa especialmente diseñada.

Exploit de la vulnerabilidad de día cero de Google Chromium

Una vez explotada, los atacantes pueden obtener la capacidad de ejecutar código arbitrario dentro del contexto del navegador.

Aunque la vulnerabilidad está inicialmente confinada al sandbox del navegador, los actores de amenazas sofisticados podrían encadenarla con exploits adicionales para escapar del sandbox y comprometer el sistema subyacente.

CISA confirmó que CVE-2026-11645 fue añadido a su catálogo KEV el 9 de junio de 2026, lo que indica evidencia de explotación activa.

Sin embargo, actualmente no hay confirmación de que la vulnerabilidad esté siendo utilizada en campañas de ransomware.

El impacto de este fallo se extiende más allá de Google Chrome, ya que Chromium sirve como base para varios navegadores ampliamente utilizados, incluidos Microsoft Edge y Opera.

Esta amplia exposición aumenta significativamente la superficie de ataque, haciendo que el parcheo oportuno sea crítico tanto para los usuarios individuales como para los entornos empresariales.

CISA ha ordenado a las agencias federales remediar la vulnerabilidad antes del 23 de junio de 2026, de acuerdo con la Directiva Operativa Vinculante (BOD) 22-01.

La agencia recomienda que las organizaciones apliquen inmediatamente los parches y mitigaciones proporcionados por el proveedor. Si no hay correcciones disponibles, se aconseja a los usuarios que interrumpan el uso de los productos afectados hasta que se publiquen las actualizaciones de seguridad.

Los expertos en seguridad advierten que las vulnerabilidades basadas en el navegador siguen siendo un objetivo principal para los atacantes porque pueden entregar exploits a través de interacciones web comunes.

En este caso, el uso de una carga útil HTML diseñada resalta cómo los actores de amenazas pueden convertir contenido web aparentemente benigno en un arma para ganar acceso a los entornos objetivo.

Se recomienda a las organizaciones monitorizar cualquier actividad inusual del navegador, aplicar políticas estrictas de gestión de parches e implementar controles de seguridad adicionales, como soluciones de detección y respuesta de endpoints (EDR).

Limitar la exposición del usuario a sitios web no confiables y desactivar funciones innecesarias del navegador también puede reducir el riesgo de explotación.

Dado el estado de explotación activa y el uso generalizado de los navegadores basados en Chromium, CVE-2026-11645 representa una amenaza de alta prioridad que requiere atención inmediata.

Tú, como usuario o administrador, debes mantenerte vigilante y asegurarte de que tus sistemas estén actualizados tan pronto como los parches estén disponibles.