Google ha lanzado una actualización de seguridad de emergencia para su navegador Chrome con el fin de abordar una vulnerabilidad de alta severidad que ya está siendo explotada activamente en ataques reales. Se trata de CVE-2026-85046, un fallo de tipo confusión en el motor V8, el componente encargado de ejecutar JavaScript y WebAssembly. La compañía ha confirmado que existe un exploit en circulación, aunque no ha ofrecido detalles sobre los responsables ni sobre las víctimas de estos ataques.
La corrección se ha distribuido en las versiones 152.0.7977.82/.83 para Windows y macOS, y 152.0.7977.82 para Linux. Según el boletín de seguridad, el despliegue se está realizando de forma progresiva durante los próximos días y semanas, una práctica habitual en este tipo de situaciones para garantizar que la mayoría de los usuarios reciban la actualización antes de que se divulguen más detalles técnicos. Esta vulnerabilidad es la sexta de día cero que Google corrige en Chrome durante 2026, lo que evidencia la presión constante que sufren los navegadores de uso masivo.
Qué se sabe sobre CVE-2026-85046
La vulnerabilidad, que tiene una puntuación CVSS de 8,8 sobre 10, se describe como un error de confusión de tipos en V8. Este tipo de fallo ocurre cuando el motor interpreta un objeto como si perteneciera a una categoría distinta de la que realmente tiene, lo que puede provocar una gestión incorrecta de la memoria y abrir la puerta a la ejecución de código arbitrario. En este caso, un atacante remoto podría explotar el fallo mediante una página HTML especialmente manipulada, logrando ejecutar código dentro del sandbox del navegador.
El investigador de seguridad Salvatore Gulizia, conocido también como Serotav, fue quien reportó la vulnerabilidad el 4 de agosto de 2026 y recibió una recompensa de 1.000 dólares por su divulgación. En su análisis, Gulizia explicó que la causa raíz es un error en los compiladores de V8 que provoca que un array con PACKED_ELEMENTS reciba el mapa PACKED_SMI_ELEMENTS, una condición que puede transformarse en capacidades arbitrarias de lectura y escritura dentro del heap de JavaScript. El investigador señaló que el fallo estaba presente tanto en Maglev como en TurboFan, los dos compiladores del motor.
Google, como es habitual en estos casos, ha optado por no divulgar detalles técnicos adicionales sobre el zero-day ni sobre su posible explotación en incidentes reales. La compañía solo ha confirmado que es consciente de que existe un exploit en uso, pero no ha especificado quiénes están detrás de los ataques, qué objetivos se han visto afectados ni qué cadenas de explotación se han empleado. Esta falta de información deja a los usuarios con una instrucción clara: actualizar el navegador lo antes posible.
El sexto zero-day de Chrome en 2026
Con esta corrección, Google ha abordado un total de seis vulnerabilidades de día cero explotadas activamente desde el inicio del año. La lista incluye CVE-2026-2441, un fallo de use-after-free en CSS corregido en febrero; CVE-2026-3909 y CVE-2026-3910, dos vulnerabilidades parcheadas en marzo que afectaban a la librería gráfica Skia y al motor V8 respectivamente; CVE-2026-5281, un use-after-free en Dawn, el componente de WebGPU, solucionado en abril; y CVE-2026-11645, un fallo de acceso fuera de límites en V8 corregido en junio. Todas ellas tenían una puntuación CVSS de 8,8, lo que refleja un nivel de severidad alto.
La secuencia de vulnerabilidades corregidas demuestra que los navegadores son un objetivo constante para los atacantes, ya que manejan contenido no confiable de internet y proporcionan acceso a una gran cantidad de información sensible. Los expertos en seguridad recomiendan tratar con cautela los enlaces y archivos HTML recibidos desde fuentes desconocidas, ya que una página manipulada puede intentar activar comportamientos defectuosos en componentes que normalmente trabajan de manera invisible. La prudencia del usuario y la actualización del software funcionan como capas complementarias de protección.
Qué deben hacer los usuarios y administradores
Para los usuarios individuales, la medida principal consiste en comprobar la versión instalada de Chrome y completar la actualización cuando esté disponible. Para ello, basta con abrir el menú de tres puntos, ir a Ayuda y seleccionar Información de Google Chrome. El navegador comprobará automáticamente si hay actualizaciones disponibles y, una vez descargadas, será necesario reiniciar el navegador para que los cambios surtan efecto. Los usuarios de Windows y macOS deben tener instalada la versión 152.0.7977.82/.83 o posterior, mientras que los de Linux deben contar con la 152.0.7977.82 o superior.
En entornos empresariales, los administradores de sistemas deben verificar el despliegue de la actualización en todas las estaciones de trabajo, equipos compartidos y dispositivos que ejecuten aplicaciones basadas en el navegador. No basta con confiar en la actualización automática de Chrome, ya que el despliegue gradual puede provocar que algunos equipos sigan utilizando versiones vulnerables durante varios días. Es recomendable identificar los sistemas que aún no han recibido el parche y aplicar controles temporales si es necesario, especialmente en aquellos equipos que acceden a aplicaciones de negocio sensibles.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha añadido CVE-2026-85046 a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que obliga a las agencias federales a aplicar los parches antes del 18 de septiembre de 2026. Esta inclusión subraya la gravedad del fallo y la urgencia de aplicar la corrección. Los usuarios de otros navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, también deben estar atentos a las actualizaciones de sus respectivos navegadores, ya que todos ellos dependen de los mismos componentes de Chromium, incluido V8.
La actualización de Chrome 152 también incluye correcciones para otras 11 vulnerabilidades de seguridad, entre ellas fallos de alta severidad en CrashReporting, Network, Compositing, WebGL, CacheStorage, DevTools y Skia, así como una condición de carrera en V8. Aunque ninguna de estas vulnerabilidades ha sido explotada activamente según la información disponible, su corrección contribuye a reforzar la seguridad general del navegador y a reducir la superficie de ataque para posibles futuras campañas.
Con la confirmación de explotación activa, el retraso en la instalación de la actualización se convierte en un riesgo innecesario para quienes todavía utilizan una compilación vulnerable. La vulnerabilidad ya tiene solución, y la adopción de las versiones corregidas será clave para frenar los ataques en curso. Mientras tanto, Google continuará distribuyendo la actualización de forma progresiva y se espera que en los próximos días la mayoría de los usuarios tengan acceso a la versión parcheada. La prudencia al navegar y la actualización inmediata del software son las mejores defensas contra esta amenaza.
Continúar leyendo...