Google Chrome vuelve a estar en el centro de atención de la seguridad informática. Si hace apenas unos días la compañía lanzaba un parche masivo con 327 vulnerabilidades corregidas, ahora llega una nueva actualización de emergencia para el navegador de escritorio. En esta ocasión, la versión 152.0.7977.75/.76 para Windows y Mac, y 152.0.7977.75 para Linux, incluye 26 correcciones de seguridad, de las cuales dos son consideradas críticas.

Dos fallos críticos que permiten ejecutar código fuera del sandbox

Ambas vulnerabilidades críticas son del tipo use-after-free (uso después de liberar memoria). Este tipo de error ocurre cuando el programa intenta acceder a una posición de memoria que ya ha sido liberada, lo que puede provocar desde un cierre inesperado hasta la ejecución de código arbitrario por parte de un atacante.

La primera, identificada como CVE-2026-84353, fue encontrada en la función Shared Tab Groups (grupos de pestañas compartidos). Según detalla Malwarebytes, un atacante remoto podría explotarla mediante una página HTML manipulada para ejecutar código fuera del sandbox del navegador. En este caso, el atacante necesitaría recurrir a ingeniería social para llevar a la víctima a un sitio malicioso o a un correo en formato HTML.

La segunda, CVE-2026-84352, afecta a WebGL (Web Graphics Library), la tecnología que permite mostrar gráficos 2D y 3D interactivos en el navegador. También permite a un atacante remoto ejecutar código arbitrario fuera del sandbox a través de una página HTML especialmente diseñada.

El parche anterior: 327 vulnerabilidades, 10 críticas

Esta nueva actualización llega apenas una semana después de que Google publicara un parche masivo para Chrome. El 26 de agosto, el navegador se actualizó a la versión 152.0.7977.64/.65 en Windows y Mac, y 152.0.7977.64 en Linux, con 327 correcciones de seguridad, de las cuales 10 eran críticas.

De aquella remesa, dos vulnerabilidades destacaban por su potencial peligro. La primera, CVE-2026-79282, afectaba a ANGLE (Almost Native Graphics Layer Engine), una capa que traduce comandos gráficos para el sistema operativo y la tarjeta gráfica. Un atacante podía explotarla con una página HTML manipulada para ejecutar código fuera del sandbox, sin necesidad de pasos adicionales.

La segunda, CVE-2026-78899, era un fallo use-after-free en el motor V8 de Chrome, el encargado de ejecutar JavaScript. Con una puntuación CVSS de 8.8 sobre 10, permitía a un atacante remoto ejecutar código arbitrario dentro del sandbox mediante una página web manipulada. Aunque el código se ejecuta en un entorno restringido, los atacantes suelen encadenar varias vulnerabilidades para escapar del sandbox y lograr un compromiso más grave.

¿Por qué son tan peligrosas estas vulnerabilidades?

Las vulnerabilidades que permiten ejecución remota de código fuera del sandbox son especialmente valiosas para los atacantes. Una simple visita a un sitio web malicioso o comprometido puede traducirse en la ejecución de código directamente en el sistema operativo subyacente, sin necesidad de explotar otras vulnerabilidades. Esto convierte a este tipo de fallos en un objetivo prioritario para los ciberdelincuentes.

Cómo actualizar Chrome

Si no quieres esperar a que la actualización llegue automáticamente, puedes forzarla manualmente. Haz clic en el menú Más (tres puntos), luego ve a Configuración > Acerca de Chrome. Si hay una actualización disponible, Chrome comenzará a descargarla automáticamente. Una vez descargada, reinicia el navegador para aplicar los parches.

La versión más reciente para escritorio es la 152.0.7977.75/.76 (Windows y Mac) o 152.0.7977.75 (Linux). Asegúrate de reiniciar el navegador para quedar protegido frente a estas nuevas amenazas.