Vulnerabilidades críticas en Google Chrome 2026
Vulnerabilidad crítica - 06/03
Introducción
CVE-2026-3545 se origina por una validación insuficiente de datos en el subsistema de navegación de Chrome, lo que permite que datos manipulados en una página HTML maliciosa no sean correctamente verificados por el navegador. Si un usuario visita dicha página, un atacante puede aprovechar el fallo para escapar del sandbox del navegador, uno de los principales mecanismos de aislamiento de seguridad de Chrome. El sandbox está diseñado para impedir que el contenido web acceda directamente al sistema operativo o a otros procesos del navegador. Romper esta barrera puede permitir a un atacante realizar acciones más avanzadas en el sistema de la víctima.
Análisis
CVE-2026-3545 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
El fallo explotado por CVE-2026-3545 aparece cuando el navegador procesa ciertos datos generados durante la navegación web. Un atacante puede crear una página especialmente diseñada con contenido HTML o JavaScript manipulado que provoque que el motor de navegación de Chrome procese información que no ha sido validada correctamente. Debido a esta validación incompleta, el navegador puede entrar en un estado interno inconsistente al manejar dichos datos. En determinadas circunstancias, este estado permite que el código ejecutado dentro del proceso renderer interactúe con componentes del navegador que deberían estar fuera de su alcance.
Como resultado, el atacante puede lograr un escape del sandbox y superar la barrera de aislamiento que normalmente protege al sistema frente al contenido web no confiable. Una vez que el código malicioso sale del entorno restringido del renderer, puede comunicarse con procesos del navegador con mayores privilegios, como el proceso principal encargado de la interfaz y de la gestión de recursos. Este paso es especialmente crítico, ya que rompe uno de los mecanismos fundamentales de seguridad del navegador.
En un escenario de ataque real, la explotación podría darse si la víctima visita una página web maliciosa, ya sea mediante un enlace de phishing, publicidad maliciosa o redirecciones comprometidas. Al cargarse la página, el contenido manipulado activaría el fallo en la validación de datos y desencadenaría el comportamiento que permite el escape del sandbox. Aunque este tipo de vulnerabilidad por sí sola no siempre garantiza el control completo del sistema, es valiosa para los atacantes porque puede combinarse con otras vulnerabilidades en lo que se conoce como una cadena de explotación. En estas cadenas, una primera vulnerabilidad permite ejecutar código dentro del proceso del navegador, mientras que el fallo de escape del sandbox facilita avanzar hacia un compromiso más amplio del sistema.
Versiones afectadas
Versiones anteriores a 145.0.7632.159.
Recomendaciones
- Actualizar Google Chrome a la versión 145.0.7632.159 o posterior.
- Aplicar actualizaciones automáticas del navegador.
Workarounds
No hay workarounds para esta vulnerabilidad.
Referencias
- https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop.html
- https://app.opencve.io/cve/CVE-2026-3545
- https://radar.offseq.com/threat/cve-2026-3545-insufficient-data-validation-in-goog-72f3544b
Vulnerabilidad crítica - 16/03
Introducción
CVE-2026-3909 y CVE-2026-3910 son fallos críticos en Google Chrome que permiten la ejecución remota de código a través de la corrupción de memoria en componentes esenciales del navegador. La primera afecta al motor gráfico Skia, provocando escrituras fuera de límites al procesar contenido visual malicioso, mientras que la segunda compromete el motor V8 JavaScript Engine, explotando defectos en la interpretación de código JavaScript y WebAssembly.
Ambas vulnerabilidades fueron reportadas como explotadas activamente en entornos reales, lo que permite a un atacante ejecutar código arbitrario en el navegador, comprometiendo potencialmente el sistema del usuario y poniendo en riesgo datos sensibles.
Análisis
CVE-2026-3909 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - 8,8
CVE-2026-3909 es una vulnerabilidad de seguridad detectada en el navegador Google Chrome que permite a un atacante explotar un error de escritura fuera de límites (out-of-bounds write) en el motor gráfico Skia. El fallo se produce cuando el navegador procesa ciertos datos gráficos especialmente manipulados y termina escribiendo información fuera del área de memoria asignada. Un atacante puede aprovechar este comportamiento mediante una página web maliciosa que contenga contenido gráfico diseñado para activar el error; cuando la víctima la visita con una versión vulnerable del navegador, la corrupción de memoria puede permitir alterar estructuras internas del proceso del navegador y potencialmente ejecutar código arbitrario en el sistema de la víctima.
CVE-2026-3910 - Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - 8,8
CVE-2026-3910 es una vulnerabilidad crítica detectada en el motor V8 JavaScript y WebAssembly del navegador Google Chrome. Cuando el navegador interpreta código especialmente manipulado, puede producirse una corrupción de memoria dentro del motor V8. Un atacante puede explotar este fallo a través de una página web maliciosa que ejecute código diseñado para activar la vulnerabilidad. Si un usuario visita dicha página con una versión vulnerable del navegador, el atacante podría obtener ejecución de código dentro del proceso del navegador y, en combinación con otras técnicas, comprometer el sistema de la víctima.
Versiones afectadas
Versiones de Google Chrome anteriores a 146.0.7680.75 en Windows, macOS y Linux.
Recomendaciones
Actualizar Google Chrome a 146.0.7680.75 o posterior.
Workarounds
No hay workarounds para estas vulnerabilidades.
Referencias
- https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_12.html
- https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-chrome-de-google
- https://thehackernews.com/2026/03/google-fixes-two-chrome-zero-days.html
Vulnerabilidad crítica - 16/03
Introducción
CVE‑2026‑3916 se clasifica como una lectura fuera de los límites de memoria (out‑of‑bounds read) que afecta al componente Web Speech del navegador Google Chrome. Este componente es responsable de proporcionar funcionalidades de reconocimiento y síntesis de voz, lo que permite a los sitios web interactuar con el usuario mediante comandos de voz o generar respuestas habladas.
Análisis
CVE-2026-3916 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
CVE‑2026‑3916 se origina en el componente Web Speech de Google Chrome, encargado de procesar funciones de reconocimiento y síntesis de voz. Este componente utiliza buffers de memoria para almacenar temporalmente los datos de audio y sus procesos asociados. El fallo ocurre porque al manejar ciertos datos de entrada, Web Speech intenta acceder a áreas de memoria fuera de los límites asignados, es decir, lee información que no debería estar disponible para la página web o el proceso que lo ejecuta.
El ataque se puede realizar de manera remota y no requiere permisos especiales: basta con que un usuario visite una página web maliciosa o reproduzca un audio manipulado que contenga datos diseñados para provocar esta lectura fuera de límites. Cuando el navegador procesa estos datos, el código de Web Speech confía en que la información recibida está dentro de los límites esperados, y al no ser así, se produce una exposición de memoria sensible. Esto podría permitir al atacante acceder a información privada que normalmente está aislada dentro del proceso del navegador.
Aunque por sí sola esta vulnerabilidad no permite ejecutar código arbitrario, su importancia radica en que puede ser utilizada como primer paso en un ataque más complejo, combinándola con otras fallas de seguridad como errores de corrupción de memoria o vulnerabilidades tipo use-after-free. En estos escenarios, un atacante podría incluso llegar a comprometer la seguridad del sandbox de Chrome, que normalmente aísla los procesos del navegador para proteger el sistema y los datos del usuario.
Versiones afectadas
Versiones anteriores a la 146.0.7680.71.
Recomendaciones
Actualizar Chrome a la versión 146.0.7680.71 o posterior.
Workarounds
No hay workarounds para esta vulnerabilidad.
Referencias
- https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_10.html
- https://csirt.telconet.net/comunicacion/boletines-servicios/actualizacion-de-seguridad-de-google-chrome-corrige-29-vulnerabilidades-criticas/
- https://www.suse.com/security/cve/CVE-2026-3916.html
Vulnerabilidad crítica - 14/04
Introducción
CVE-2026-5874 corresponde a un fallo de seguridad identificado en PrivateAI de Google Chrome. Se trata de una vulnerabilidad de tipo use-after-free, una categoría de errores de gestión de memoria que ocurre cuando un programa continúa utilizando un recurso de memoria después de haber sido liberado. Este tipo de fallos puede derivar en corrupción de memoria y, en escenarios más avanzados, en la ejecución de código arbitrario.
La explotación de esta vulnerabilidad es posible a través de contenido web especialmente diseñado. Un atacante remoto podría inducir a la víctima a acceder a una página maliciosa que contenga código preparado para aprovechar este fallo. En este contexto, la interacción del usuario es necesaria para desencadenar el comportamiento vulnerable.
Análisis
CVE-2026-5874 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HC - 9,6
CVE-2026-5874 se fundamenta en un error de gestión de memoria del tipo use-after-free dentro del navegador Google Chrome, lo que implica una desincronización entre la liberación de un recurso y su uso posterior. En condiciones normales, el navegador reserva memoria para gestionar distintos objetos como elementos de una página web o componentes internos como PrivateAI, la utiliza durante su ciclo de vida y, finalmente, la libera cuando deja de ser necesaria. Sin embargo, en este caso, aunque la memoria se libera correctamente, el sistema mantiene referencias activas a ese espacio, lo que provoca que se vuelva a acceder a él de manera indebida.
A partir de esta situación, un atacante puede diseñar una página web específicamente preparada para explotar el fallo. En primer lugar, induce al navegador a crear y destruir ciertos objetos en momentos concretos, generalmente mediante contenido dinámico o interacciones controladas. A continuación, cuando la memoria ya ha sido liberada, el atacante fuerza nuevas asignaciones que reutilicen ese mismo espacio, logrando así introducir datos manipulados en la zona previamente ocupada por el objeto original.
De este modo, cuando el navegador intenta acceder de nuevo a ese objeto, en realidad está procesando información controlada por el atacante. Como consecuencia, se puede alterar el comportamiento interno del programa, lo que puede derivar en la ejecución de código arbitrario, la corrupción de estructuras de memoria o incluso la desviación del flujo de ejecución.
Cabe destacar que, para que la explotación tenga éxito, suele ser necesaria cierta interacción por parte del usuario, como realizar clics o ejecutar acciones dentro de la página maliciosa. Esto permite sincronizar con mayor precisión los eventos necesarios para provocar el fallo.
Aunque esta vulnerabilidad puede parecer limitada de forma aislada, su verdadero riesgo radica en que puede integrarse en cadenas de ataque más complejas. Así, un atacante podría utilizarla como punto de entrada para ejecutar código dentro del navegador y, posteriormente, combinarla con otros fallos con el objetivo de evadir mecanismos de seguridad como el sandbox y comprometer el sistema en su conjunto.
Versiones afectadas
Versiones de Chrome anteriores a la 147.0.7727.55.
Recomendaciones
Actualizar Google Chrome a versión 147.0.7727.55 o superior.
Workarounds
No hay workarounds para esta vulnerabilidad.
Referencias
- https://chromereleases.googleblog.com/2026/04/stable-channel-update-for-desktop.html
- https://access.redhat.com/security/cve/cve-2026-5874
- https://windowsforum.com/threads/cve-2026-5874-privateai-use-after-free-chrome-147-0-7727-55-sandbox-escape-risk.411635/
Vulnerabilidad crítica - 20/04
Introducción
CVE-2026-6296 es una vulnerabilidad crítica descubierta en el motor de renderizado gráfico utilizado por navegadores basados en Chromium, específicamente en el componente ANGLE (Almost Native Graphics Layer Engine), integrado en Google Chrome. Esta vulnerabilidad se clasifica como un desbordamiento de búfer en el heap (heap buffer overflow), lo que implica que el sistema permite escribir datos fuera de los límites de memoria asignados dinámicamente. Este tipo de fallo es especialmente peligroso porque puede corromper estructuras internas del programa y facilitar la ejecución de código arbitrario.
ANGLE actúa como una capa de abstracción gráfica que traduce llamadas de APIs como OpenGL ES (usadas en WebGL) a APIs nativas del sistema (DirectX, Vulkan, Metal, etc.), lo que permite que el contenido web con gráficos avanzados (como juegos en navegador o aplicaciones 3D) funcione de forma consistente en diferentes plataformas. ANGLE procesa datos complejos y potencialmente no confiables provenientes de sitios web y opera en una zona crítica del navegador con acceso a recursos de GPU y memoria, por lo que puede ser objetivo de ataques de corrupción de memoria.
Análisis
CVE-2026-6296 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
CVE-2026-6296 se origina en el componente ANGLE de Google Chrome, que actúa como intermediario entre las aplicaciones web que utilizan WebGL y las API gráficas del sistema operativo. ANGLE es responsable de traducir instrucciones gráficas complejas procedentes de una página web a llamadas nativas de la GPU, lo que implica el procesamiento continuo de datos no totalmente confiables.
En ocasiones, ANGLE maneja de forma incorrecta determinados buffers en memoria durante estas operaciones gráficas. Debido a una falta de validación adecuada de los límites o a errores en el cálculo del tamaño de los datos, se produce un desbordamiento de búfer en el heap, lo que significa que el programa escribe información fuera del espacio de memoria que tenía reservado, resultando en la corrupción de estructuras adyacentes dentro del heap.
Esta corrupción no es aleatoria, ya que en un escenario de explotación un atacante puede influir en los datos que se escriben fuera de los límites, consiguiendo modificar punteros o estructuras internas del proceso del renderizador. A partir de ese punto, el fallo deja de ser únicamente un problema de estabilidad y puede convertirse en una primitiva de control de memoria que permite alterar el flujo de ejecución del programa.
Si el atacante consigue suficiente control sobre la memoria, puede redirigir la ejecución hacia código inyectado o reutilizar fragmentos de memoria existentes para ejecutar instrucciones arbitrarias dentro del proceso del navegador. Dado que este proceso está aislado mediante un sandbox, el impacto inicial se limita a ese entorno. Sin embargo, en determinadas condiciones, esta corrupción puede ser utilizada como parte de una cadena de explotación más amplia, permitiendo potencialmente romper el aislamiento del sandbox mediante técnicas adicionales.
Versiones afectadas
Versiones anteriores a 147.0.7727.101.
Recomendaciones
Actualizar Google Chrome a la versión 147.0.7727.101 o superior. Esta medida también debe aplicarse a otros navegadores basados en Chromium, como Microsoft Edge, Brave Browser y Opera.
Workarounds
No hay workarounds para esta vulnerabilidad.
Referencias
- https://chromereleases.googleblog.com/2026/04/stable-channel-update-for-desktop_15.html
- https://www.rapid7.com/db/vulnerabilities/google-chrome-cve-2026-6296/
- https://access.redhat.com/security/cve/cve-2026-6296
Vulnerabilidad crítica - 27/04
Introducción
CVE-2026-6919 y CVE-2026-6920 afectan a componentes internos del motor del navegador Google Chrome y se enmarcan en categorías clásicas de errores de gestión de memoria, ampliamente asociados a la seguridad de aplicaciones complejas como los navegadores modernos.
Estos dos fallos comparten un contexto técnico relevante: se producen dentro de subsistemas críticos de Chrome (DevTools y GPU) y pueden ser explotados mediante contenido web especialmente diseñado. Aunque sus causas técnicas específicas difieren, ambos tienen en común la posibilidad de ser utilizados dentro de cadenas de ataque más amplias, en las que un atacante primero compromete el proceso de renderizado del navegador y posteriormente intenta escapar del entorno de aislamiento (sandbox), uno de los principales mecanismos de defensa del navegador.
Análisis
CVE-2026-6920 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
CVE-2026-6920 es un fallo de seguridad crítico que afecta al navegador Google Chrome en dispositivos Android. Se trata de una vulnerabilidad de tipo out-of-bounds read, clasificada dentro de la categoría CWE-125, lo que implica que el software puede acceder a zonas de memoria fuera de los límites permitidos. Este tipo de errores, aunque en principio pueden parecer limitados a la exposición de información, resultan especialmente peligrosos cuando se combinan con otros fallos, ya que pueden facilitar la evasión de mecanismos de seguridad más robustos.
La vulnerabilidad reside en el componente gráfico (GPU) del navegador, una parte crítica encargada de procesar contenidos visuales y acelerar la renderización de páginas web. Un atacante remoto podría explotar este fallo mediante una página web especialmente diseñada, logrando primero comprometer el proceso de renderizado del navegador. A partir de ahí, CVE-2026-6920 permite avanzar en la cadena de ataque al posibilitar un escape del entorno de aislamiento o sandbox, una de las principales barreras de seguridad implementadas en navegadores modernos para evitar que el código malicioso afecte al sistema subyacente.
El impacto de esta vulnerabilidad es elevado porque rompe precisamente ese modelo de aislamiento. Aunque requiere interacción del usuario, normalmente al visitar un sitio web malicioso, y la explotación previa de otro fallo en el renderer, su papel dentro de una cadena de explotación es clave. En escenarios reales, este tipo de vulnerabilidades se utilizan en ataques más complejos, como los denominados drive-by downloads, donde el usuario puede ser comprometido sin necesidad de acciones adicionales más allá de cargar contenido web manipulado.
CVE-2026-6919 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
CVE-2026-6919 es un fallo de seguridad que pertenece a la categoría de errores de gestión de memoria conocidos como use-after-free, clasificados como CWE-416, en los que una aplicación continúa utilizando una zona de memoria después de haber sido liberada, generando comportamientos impredecibles y potencialmente explotables.
La vulnerabilidad se localiza en el componente DevTools de Chrome, es decir, en las herramientas de desarrollo integradas en el navegador. Aunque estas herramientas están orientadas principalmente a desarrolladores, forman parte del mismo proceso del navegador y, por tanto, pueden ser utilizadas como vector de ataque si contienen fallos de seguridad. La vulnerabilidad permite que un atacante remoto, mediante la creación de una página web especialmente manipulada, pueda desencadenar el error de memoria y aprovecharlo para avanzar en una cadena de explotación.
El escenario de ataque es similar al de otras vulnerabilidades modernas en navegadores: el atacante necesita haber comprometido previamente el proceso de renderizado (renderer), normalmente mediante otra vulnerabilidad inicial. A partir de ese punto, CVE-2026-6919 permite realizar un sandbox escape, es decir, romper el aislamiento de seguridad que Chrome utiliza para contener código potencialmente malicioso. Este aislamiento es uno de los pilares de la seguridad en navegadores modernos, por lo que su evasión supone un incremento significativo del riesgo.
El impacto de esta vulnerabilidad es elevado porque puede facilitar la ejecución de código fuera del entorno restringido del navegador, lo que abre la puerta a compromisos más amplios del sistema afectado. Un atacante podría combinar este fallo con otros para lograr control sobre el dispositivo, acceder a información sensible o establecer persistencia. Por este motivo, aunque el fallo por sí solo requiere condiciones previas, se considera especialmente peligroso dentro de cadenas de ataque más sofisticadas.
Versiones afectadas
- Versiones anteriores a 147.0.7727.116/117 en Windows y macOS
- Versiones anteriores a 147.0.7727.116 en Linux
Recomendaciones
Actualizar Google Chrome a la versión 147.0.7727.117 o superior.
Workarounds
No hay workarounds para estas vulnerabilidades.
Referencias
- https://chromereleases.googleblog.com/2026/04/stable-channel-update-for-desktop_22.html
- https://www.forbes.com/sites/daveywinder/2026/04/24/new-google-chrome-security-alert-for-35-billion-users/
Vulnerabilidad crítica - 08/05
Introducción
CVE-2026-7908 es una vulnerabilidad crítica en Google Chrome publicada el 8 de mayo de 2026, con idéntico perfil de riesgo al de CVE-2026-7910, lo que sugiere que ambos fallos fueron descubiertos y parcheados de forma simultánea en la misma actualización del canal Stable.
El vector CVSS 3.1 AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H confirma que el atacante puede operar de forma completamente remota sin necesidad de autenticación ni de condiciones técnicas especiales.
La presencia de dos CVEs distintos en el mismo boletín de actualización de Chrome indica la existencia de múltiples superficies de ataque en la versión afectada, incrementando la urgencia del parcheo.
El atributo de alcance cambiante (S:C) apunta a un posible bypass del mecanismo de aislamiento de procesos de Chrome, conocido como Site Isolation, que constituye una de las principales capas defensivas del navegador.
CVE-2026-7910 es una vulnerabilidad crítica identificada en Google Chrome que permite la ejecución de código arbitrario mediante la interacción del usuario con contenido web malicioso.
El vector de ataque es completamente remoto (AV:N) con complejidad baja (AC:L), lo que facilita su explotación masiva sin requisitos técnicos avanzados por parte del atacante.
La vulnerabilidad no requiere ningún nivel de privilegios previo (PR:N) en el sistema objetivo, reduciendo significativamente la barrera de explotación.
El alcance cambiante (S:C) indica que el impacto trasciende el componente vulnerable original, sugiriendo un potencial escape del sandbox del navegador hacia el sistema operativo subyacente.
Con impacto Alto en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H), esta vulnerabilidad representa una amenaza crítica con puntuación CVSS 3.1 estimada en 9.6.
La explotación conjunta de CVE-2026-7908 y CVE-2026-7910 podría permitir cadenas de ataque encadenadas (exploit chains) de mayor sofisticación y alcance.
Análisis
CVE-2026-7908 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
CVE-2026-7908 representa una vulnerabilidad independiente pero estrechamente relacionada con CVE-2026-7910, ambas corregidas en el mismo ciclo de actualización del canal Stable de Google Chrome. El vector de ataque comparte la misma taxonomía CVSS (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H), aunque el componente específico afectado podría diferir, siendo candidatos probables subsistemas como el gestor de memoria del renderer, el motor de análisis HTML/CSS o las APIs de WebAssembly. La existencia de vulnerabilidades paralelas en el mismo producto y versión es indicativa de una auditoría de seguridad o reporte coordinado que ha permitido identificar múltiples debilidades en una misma superficie de ataque.
El análisis del comportamiento esperado en explotación revela que CVE-2026-7908 podría funcionar como vector de entrada inicial en una cadena de explotación donde CVE-2026-7910 actúe como mecanismo de escalada o escape de sandbox. Esta sinergia entre vulnerabilidades del mismo ciclo de parcheo es un patrón conocido en la explotación avanzada de navegadores, frecuentemente utilizado por actores de amenaza persistente avanzada (APT) y grupos de ciberespionaje que desarrollan exploits 0-day para compromiso de objetivos de alto valor. La ausencia de requisitos de privilegios (PR:N) y la baja complejidad (AC:L) posicionan esta vulnerabilidad como altamente susceptible de ser incorporada en exploit kits comerciales o de código abierto.
Las medidas de mitigación inmediatas pasan por la actualización urgente a la última versión del canal Stable de Google Chrome, verificando que el proceso de actualización automática esté correctamente habilitado en todos los endpoints de la organización. Adicionalmente, se recomienda la aplicación de políticas de seguridad empresarial que fuercen el uso de Chrome con flags de aislamiento de procesos habilitados (--site-per-process), así como la restricción de acceso a sitios web no categorizados mediante soluciones de filtrado de contenido. La telemetría de seguridad debe monitorizarse activamente en busca de crashes inusuales del proceso renderer o de comportamientos anómalos post-navegación, que podrían ser indicativos de explotación en curso.
CVE-2026-7910 - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - 9,6
CVE-2026-7910 afecta al motor de renderizado de Google Chrome, siendo clasificada dentro de las categorías de mayor riesgo según el modelo CVSS 3.1 con un vector AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. El componente afectado, con alta probabilidad asociado al motor JavaScript V8 o al subsistema de renderizado Blink, permite que un atacante remoto no autenticado consiga ejecución de código arbitrario mediante la simple visita a una página web especialmente manipulada. La característica de 'Scope Changed' (S:C) es especialmente relevante, ya que implica que el código malicioso puede escapar del entorno aislado (sandbox) del proceso renderer y comprometer procesos con mayores privilegios en el sistema operativo.
Desde una perspectiva de explotación, el escenario de ataque más probable implica la distribución de URLs maliciosas mediante campañas de phishing, publicidad maliciosa (malvertising) o compromisos de sitios web legítimos (watering hole). La baja complejidad de ataque (AC:L) sugiere que no se requieren condiciones de carrera ni configuraciones específicas del sistema víctima, lo que posibilita la automatización del exploit en kits de explotación. El único requisito es la interacción del usuario (UI:R), limitada a abrir una URL en el navegador afectado, lo que convierte a esta vulnerabilidad en un vector ideal para campañas de compromiso masivo dirigidas tanto a usuarios corporativos como domésticos.
El impacto combinado Alto en los tres pilares de la seguridad (C:H/I:H/A:H) implica que una explotación exitosa puede resultar en exfiltración de credenciales almacenadas, cookies de sesión y datos sensibles del navegador; escritura arbitraria en el sistema de archivos del usuario; e incluso denegación de servicio del proceso del navegador o del sistema. Las organizaciones deben aplicar de forma inmediata el parche distribuido por Google en el canal Stable, dado que la divulgación pública incrementa exponencialmente el riesgo de explotación activa en las horas y días posteriores al aviso. Se recomienda adicionalmente revisar los registros de acceso web en busca de patrones de navegación anómalos y considerar la implementación de controles de proxy con inspección de contenido.
Versiones afectadas
Consultar advisory del fabricante para versiones afectadas.
Recomendaciones
1. Aplicar el parche oficial del fabricante con carácter urgente.
2. Consultar el advisory del fabricante y de CISA para mitigaciones específicas.
3. Implementar controles compensatorios donde el parcheo no sea inmediato.
4. Revisar inventario de activos para determinar exposición.
Workarounds
No hay workarounds específicos identificados. Consultar el advisory oficial del fabricante para este CVE.
Referencias
Vulnerabilidad crítica - 09/09
Introducción
CVE-2026-84324 es una vulnerabilidad de use-after-free identificada en el componente Proxy de Google Chrome, el navegador web de Google basado en Chromium, permite a un atacante remoto ejecutar código arbitrario fuera de la sandbox mediante tráfico de red manipulado, con una puntuación CVSS 3.1 de 9.0 (Crítico).
El ataque es remoto (AV:N) y no requiere privilegios previos (PR:N) ni interacción del usuario más allá del uso normal del navegador (UI:N): a diferencia de las otras cinco vulnerabilidades corregidas en la misma versión, que exigen que la víctima abra una página manipulada o caiga en ingeniería social, esta se dispara con tráfico de red manipulado, de modo que un atacante que controle la ruta de red o un servidor proxy puede explotarla contra un navegador que nunca haya visitado un sitio hostil. La complejidad es alta (AC:H), ya que el atacante debe disponer de una posición privilegiada en la ruta de red o del control de un proxy. El alcance es modificado (S:C), puesto que la ejecución de código se produce fuera de la sandbox del navegador, traspasando la frontera de seguridad diseñada para aislar el contenido web del sistema operativo, y el impacto sobre confidencialidad, integridad y disponibilidad es Alto (C:H/I:H/A:H), lo que en la práctica supone ejecución de código arbitrario con los privilegios del usuario que ejecuta Chrome.
La corrección se publicó el 1 de septiembre de 2026 en el canal Stable de escritorio, versiones 152.0.7977.75/.76 para Windows y macOS y 152.0.7977.75 para Linux, dentro de una actualización con 26 correcciones de seguridad. El fallo fue reportado internamente por Google el 10 de julio de 2026 y se corresponde con el bug de Chromium 533534913.
Análisis
La vulnerabilidad CVE-2026-84324 se clasifica como un use-after-free (CWE-416) en el componente Proxy de Chrome, responsable de la resolución y gestión de la configuración de proxy y de las conexiones que el navegador establece a través de él. En esta clase de fallos, una estructura de memoria se libera mientras otra ruta de código conserva una referencia a ella; una manipulación posterior del contenido de esa memoria liberada permite al atacante controlar el flujo de ejecución del proceso afectado. Al residir el fallo en un componente del proceso de navegador y no en el renderizador aislado, la ejecución resultante se produce fuera de la sandbox, con los privilegios del usuario que ejecuta Chrome.
Desde la perspectiva de la explotabilidad, el aspecto diferencial de esta vulnerabilidad es el vector: no se requiere que la víctima visite una página maliciosa ni que interactúe con contenido señuelo, sino que basta con que el navegador procese tráfico manipulado a través de la ruta de red.
El radio de acción de un compromiso exitoso es amplio, ya que la ejecución de código fuera de la sandbox implica acceso a los tokens de sesión del usuario, a sus credenciales almacenadas, al sistema de ficheros del puesto y a la red interna, constituyendo un punto de entrada idóneo para el movimiento lateral. El alcance no se limita a Chrome: los navegadores derivados de Chromium (Microsoft Edge, Brave, Opera, Vivaldi) incorporan el componente afectado y publican sus propias versiones con la misma corrección, y las aplicaciones basadas en Electron empaquetan su propia copia de Chromium, que no se actualiza con el navegador y permanece vulnerable hasta que el fabricante de la aplicación publique una nueva versión.
Para mitigar esta vulnerabilidad, la medida prioritaria y definitiva es actualizar Google Chrome a la última versión estable disponible (152.0.7977.82/.83 o posterior) y forzar el reinicio del navegador, ya que Chrome descarga la actualización en segundo plano pero el código nuevo no entra en vigor hasta que el proceso se reinicia. Como medidas adicionales de defensa en profundidad, LAB52 recomienda revisar las políticas de Chrome Enterprise (TargetVersionPrefix y UpdateDefault) para acortar deliberadamente los despliegues diferidos ante una evasión de sandbox, inventariar y actualizar los navegadores basados en Chromium y las aplicaciones Electron de la organización, reducir la exposición a rutas de red no confiables mediante el uso obligatorio de VPN corporativa en redes externas, endurecer y monitorizar la configuración de proxy de los puestos (incluida la detección de cambios no autorizados de PAC o de proxy del sistema), y vigilar en el EDR la aparición de procesos hijo anómalos de chrome.exe fuera del renderizador.
Versiones afectadas
Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables.
- Google Chrome, canal Stable, todas las versiones anteriores a 152.0.7977.75 (Windows, macOS y Linux).
- Indirectamente, navegadores basados en Chromium y aplicaciones Electron que no hayan incorporado la corrección en sus propias versiones.
Recomendaciones
- Actualizar con carácter urgente Google Chrome a la última versión estable disponible (mínimo 152.0.7977.75; recomendado 152.0.7977.82/.83 o posterior) en todos los puestos gestionados.
- Forzar el reinicio del navegador tras la actualización y verificar la versión efectiva en
chrome://settings/help, dado que un equipo con la actualización descargada pero sin reiniciar sigue siendo vulnerable. - Revisar inventario de activos para determinar exposición.
Workarounds
No existen workarounds completos para esta vulnerabilidad, la única solución definitiva es la actualización del navegador.