370 vulnerabilidades, siete críticas, y un ritmo de actualización sin precedentes

Google ha lanzado Chrome 151 con parches para 370 vulnerabilidades, incluyendo siete fallos críticos. La actualización, publicada el 29 de julio, está disponible para Windows, Mac (versión 151.0.7922.71/.72) y Linux (151.0.7922.71). Entre los problemas críticos destacan errores de «use after free» en componentes como Compositing, Views, Skia y Ozone, así como validación insuficiente en Dawn y ANGLE (el motor gráfico que traduce OpenGL ES a Vulkan, DirectX o Metal). También se corrigió una condición de carrera en el Updater.

Estas vulnerabilidades críticas fueron reportadas por el equipo de seguridad de Google entre el 18 de mayo y el 14 de junio de 2026, y tienen asignados los identificadores CVE-2026-17650 a CVE-2026-17656. Además de las siete críticas, el parche incluye correcciones para 71 fallos de alta gravedad, 170 de gravedad media y 122 de baja gravedad. Los investigadores de seguridad recibieron un total de $58,500 en recompensas a través del programa de bug bounty de Google, aunque los detalles de los pagos para 13 de los bugs aún no se han hecho públicos.

La IA como catalizador de una tormenta de parches

Pero la magnitud de esta actualización no es un caso aislado. Según un informe del equipo de seguridad de Chrome, las dos versiones principales de junio incluyeron correcciones para 1,072 fallos de seguridad — más parches que los que se habían distribuido en las 23 versiones anteriores combinadas. Este incremento explosivo se debe en gran medida al uso intensivo de herramientas de inteligencia artificial en la detección, triaje y desarrollo de parches.

«En Chrome hemos estado usando machine learning — IA antes de que se llamara IA — para ayudar a encontrar vulnerabilidades y automatizar el trabajo de fuzzing desde al menos 2012», explica Parisa Tabriz, vicepresidenta y gerente general de Chrome. «Pero este año es muy diferente. Realmente se siente como un punto de inflexión tanto para el ataque como para la defensa».

El equipo está probando actualmente un ritmo de dos actualizaciones de seguridad por semana, un salto enorme respecto a las actualizaciones cada dos semanas que se estaban convirtiendo en la nueva norma. Doug Turner, director de ingeniería de Chrome, comenta: «La forma en que llegamos aquí es que teníamos tantas correcciones de vulnerabilidades que poder ofrecer dos actualizaciones por semana durante este tiempo tenía todo el sentido. ¿Durará para siempre? Quién sabe».

Hacia un nuevo equilibrio

A pesar de la avalancha actual, Turner y Tabriz creen que podría haber un descenso en el número de nuevas vulnerabilidades una vez que los modelos de IA hayan agotado los bugs más fáciles de encontrar en un producto maduro como Chrome. «Estamos entrenando nuestro modelo para que conozca todas las vulnerabilidades de seguridad que hemos visto en el pasado», dice Turner. «Cada CVE, cada bug, el modelo lo sabe. Y lo segundo realmente interesante es que conoce cada línea de código en la historia de Chromium y la razón por la que se cambió».

Este contexto permite a las herramientas de IA localizar debilidades en todo el código, incluyendo características que ya no están en desarrollo activo y que atraen menos atención humana. Además del parcheo continuo, el equipo de seguridad está centrado en cambios estructurales, como reescribir partes del código C++ en Rust, un lenguaje de programación «memory safe», para eliminar categorías enteras de bugs comunes.

«Existe este pico a corto plazo, pero creo que va a haber un nuevo equilibrio», afirma Tabriz. «En toda la industria es muy importante que quienes construyen y piensan en seguridad del software incorporen IA en sus flujos de trabajo. Mi mayor esperanza es que todo sea más seguro. Pero no doy por sentado que todo va a mejorar simplemente. No creo que vaya a ser gratis».

Por ahora, Chrome 151 ya está disponible y los usuarios deben actualizar cuanto antes. Google agradeció a todos los investigadores de seguridad que colaboraron durante el ciclo de desarrollo para evitar que los bugs llegaran al canal estable.