Google ha lanzado una actualización de seguridad de emergencia para Chrome que soluciona una crítica vulnerabilidad de día cero que ya está siendo explotada en ataques del mundo real.

El fallo, rastreado como CVE-2026-85046, afecta al motor de JavaScript y WebAssembly V8 que utiliza Chrome para procesar el contenido web. La empresa ha confirmado que tiene conocimiento de que existe un exploit para esta vulnerabilidad en circulación.

Aunque Google no reveló detalles sobre los ataques, los objetivos afectados o los actores de amenazas detrás de la actividad, el aviso de explotación activa hace que sea importante que actualices inmediatamente si eres usuario de Chrome en escritorio.

La actualización de seguridad lleva a Chrome Stable a la versión 152.0.7977.82/.83 para Windows y macOS. Los usuarios de Linux reciben la versión 152.0.7977.82. Google indicó que la actualización se implementará gradualmente durante los próximos días y semanas.

Vulnerabilidad de día cero de Chrome explotada

La CVE-2026-85046 se describe como una vulnerabilidad de confusión de tipos en V8 de alta gravedad. Los errores de confusión de tipos ocurren cuando el software trata incorrectamente un dato como si fuera de un tipo cuando en realidad es de otro.

En un motor de navegador, este tipo de error en el manejo de la memoria puede ser peligroso. Un atacante podría crear contenido web o JavaScript especialmente diseñado que haga que Chrome gestione la memoria de forma inesperada.

Dependiendo de la cadena de explotación, esto podría provocar caídas del navegador, exposición de datos o la ejecución de código controlado por el atacante dentro del proceso del navegador.

Es posible que tú solo necesites visitar un sitio web malicioso o comprometido para que comience un intento de explotación. Los atacantes también pueden enviar enlaces de explotación a través de correos de phishing, anuncios maliciosos, mensajes en redes sociales o sitios legítimos comprometidos.

La vulnerabilidad fue reportada por el investigador de seguridad Salvatore Gulizia, también conocido como Serotav, el 4 de agosto de 2026. Google otorgó una recompensa de 1.000 dólares por el informe.

La actualización de Chrome contiene un total de 12 correcciones de seguridad. Varios de los problemas solucionados están calificados como de alta gravedad y afectan a componentes importantes del navegador, incluidos V8, WebGL, Network, DevTools, Skia, CacheStorage, Compositing y CrashReporting.

Entre las correcciones notables se encuentran una condición de carrera en V8, una vulnerabilidad de escritura fuera de límites en WebGL, fallos de uso después de liberación (use-after-free) en Compositing, DevTools y Skia, y un problema de confusión de tipos en Compositing.

Google está restringiendo el acceso a algunos detalles de la vulnerabilidad hasta que la mayoría de los usuarios hayan instalado la actualización. Este enfoque pretende reducir la posibilidad de que los atacantes puedan realizar ingeniería inversa a las correcciones rápidamente y crear código de explotación adicional antes de que las organizaciones y tú mismo actualicéis vuestros navegadores.

Debes actualizar Chrome inmediatamente abriendo el menú del navegador, seleccionando Ayuda y luego eligiendo "Sobre Google Chrome". Chrome comprobará si existe la última versión y descargará la actualización cuando esté disponible.

Debes reiniciar el navegador después de la instalación para asegurar que las correcciones de seguridad se apliquen. Los administradores de empresas deben verificar que los endpoints gestionados estén actualizados a Chrome 152.0.7977.82 o posterior.

Los equipos de seguridad también deberían monitorizar la telemetría de los endpoints y los registros de filtrado web en busca de actividad sospechosa del navegador, especialmente campañas de phishing que utilicen dominios recién registrados o avisos de actualización engañosos.

Debido a que la CVE-2026-85046 está siendo explotada activamente, si retrasas la actualización dejarás tus sistemas expuestos a una ruta de ataque de navegador conocida.