Vulnerabilidad de día 0 de Google Chrome explotada en la naturaleza: actualice ahora

Google ha lanzado una actualización de seguridad de emergencia para Chrome, parchando una vulnerabilidad crítica de zero-day explotada activamente en la naturaleza. El canal estable se actualizó a la versión 149.0.7827.102/.103 para Windows y Mac, y 149.0.7827.102 para Linux, solucionando 74 vulnerabilidades de seguridad, incluida una zero-day confirmada.

Aquí está el desglose de los cinco zero-days de Chrome explotados activamente parcheados en 2026 hasta ahora:

CVE | Fecha de divulgación / parche | Componente | Tipo de vulnerabilidad | Versión corregida
CVE-2026-2441 | Mediados de febrero | CSS FontFeatureValuesMap (CSS) | Invalidación de iterador | —
CVE-2026-3909 | Marzo (~12 de marzo) | Skia (biblioteca de gráficos 2D) | Escritura fuera de límites | 146.0.7680.75/.76
CVE-2026-3910 | Marzo (~12 de marzo) | V8 (motor JavaScript/WebAssembly) | Implementación inadecuada | 146.0.7680.75/.76
CVE-2026-5281 | Finales de marzo (CISA: 1 de abril) | Dawn (implementación WebGPU) | Use-after-free | 146.0.7680.177/.178
CVE-2026-11645 | 9 de junio (más reciente) | V8 (motor JavaScript) | Lectura y escritura fuera de límites | 149.0.7827.102/.103

La vulnerabilidad más crítica en esta actualización es CVE-2026-11645, una falla de acceso a memoria fuera de límites de alta gravedad en el motor JavaScript V8 de Chrome. Este tipo de vulnerabilidad es especialmente peligrosa porque V8 procesa JavaScript no confiable en prácticamente todos los sitios web que visita un usuario. Google confirmó explícitamente: “Google es consciente de que existe un exploit para CVE-2026-11645 en la naturaleza”.

Entre los componentes afectados también se incluyen Ozone, Aura y Views (renderizado central e interfaces), Bluetooth y Gamepad (capas de hardware), TabStrip, Autofill y Web Apps, así como impresión, composición y Proxy libyuv (CVE-2026-11640 por desbordamiento de enteros).

Las vulnerabilidades de use-after-free ocurren cuando un programa sigue utilizando memoria después de haber sido liberada, lo que puede provocar corrupción de memoria o ejecución de código.

Las fallas de alta gravedad abarcan 57 vulnerabilidades adicionales en subsistemas como V8 (CVE-2026-11649/11650), WebRTC (CVE-2026-11667), PDF (CVE-2026-11670), ServiceWorker (CVE-2026-11656/11694), Extensiones (CVE-2026-11652/11653), Red (CVE-2026-11651/11677) y GPU (CVE-2026-11672). La publicación “Vulnerabilidad de día 0 de Google Chrome explotada en la naturaleza: actualizar ahora” apareció por primera vez en Cyber Security News.

Consultar publicación original ↗