Google ha publicado Chrome 156 en el canal estable de escritorio con 353 correcciones de seguridad, entre ellas seis vulnerabilidades críticas que afectan a componentes como CSS, Accessibility, Skia y WebRTC.
El aviso oficial de lanzamiento de Chrome indica que la actualización se distribuye a Windows, macOS y Linux «en los próximos días/semanas». Las compilaciones corregidas son:
- Windows y macOS: 156.0.8078.47/.48
- Linux: 156.0.8078.47
El registro de cambios abarcado va desde 155.0.8059.85 hasta 156.0.8078.47. Los usuarios y los administradores deberían verificar que sus instalaciones hayan alcanzado una de las compilaciones corregidas, sobre todo en sistemas gestionados, donde el despliegue escalonado de Google podría retrasar su disponibilidad.
Los fallos de seguridad de memoria dominan la actualización
Según el análisis de SecurityWeek, las 353 correcciones comprenden seis problemas críticos, 61 de gravedad alta, 197 de gravedad media y 89 de gravedad baja.
El mismo análisis contabilizó:
- 163 errores de corrupción de memoria
- 125 vulnerabilidades de uso tras liberación
- 17 lecturas fuera de límites
- 36 problemas de validación de entradas insuficiente
Estas categorías suman 341 de las 353 correcciones. El desglose citado no clasifica las 12 restantes.
La corrupción de memoria y los fallos de uso tras liberación se producen cuando el software gestiona mal los límites de la memoria o sigue utilizándola después de haberla liberado. Según el componente afectado y las mitigaciones disponibles, los atacantes podrían leer datos, bloquear el navegador o ejecutar código. Las descripciones del NVD de los problemas más graves de Chrome 156 suelen implicar que la víctima abre una página HTML manipulada.
Seis vulnerabilidades críticas afectan a componentes centrales del navegador
Google clasificó cinco de los problemas críticos como corrupción de memoria y uno como uso tras liberación. Las fechas de «reporte» que aparecen abajo indican cuándo recibió Google cada informe, no cuándo se publicó un parche ni se divulgó públicamente.
| Vulnerabilidad | Componente y clase | Efecto potencial descrito por el NVD | CVSS | Autor del hallazgo según Google | Reportado |
|---|---|---|---|---|---|
| CVE-2026-113341 | Corrupción de memoria en Skia | Posible divulgación de memoria dentro del sandbox mediante HTML manipulado; la descripción del NVD limita específicamente este problema a Chrome en Android anterior a 156.0.8078.47 | 6,5 | 3 de octubre de 2026 | |
| CVE-2026-113279 | Corrupción de memoria en Accessibility | Posible ejecución arbitraria de código dentro del sandbox | 8,8 | Xinyang Ge | 5 de octubre de 2026 |
| CVE-2026-113072 | Corrupción de memoria en CSS | Posible ejecución arbitraria de código fuera del sandbox | 9,6 | Xinyang Ge | 6 de octubre de 2026 |
| CVE-2026-113280 | Corrupción de memoria en Paint | Ejecución arbitraria de código dentro del sandbox | 8,8 | Xinyang Ge | 6 de octubre de 2026 |
| CVE-2026-113271 | Uso tras liberación en Accessibility | Ejecución arbitraria de código dentro del sandbox | 8,8 | Xinyang Ge (Anthropic), con la ayuda de Claude | 8 de octubre de 2026 |
| CVE-2026-113303 | Corrupción de memoria en WebRTC | Posible ejecución arbitraria de código dentro del sandbox | 8,8 | OpenAI Codex Security (kylebot) | 15 de octubre de 2026 |
CVE-2026-113072 destaca porque su descripción en el NVD indica que un HTML manipulado podría dar lugar a la ejecución de código fuera del sandbox de Chrome. Tiene una puntuación CVSS 3.1 de 9,6, con acceso por red, complejidad de ataque baja y necesidad de interacción del usuario.
Las distintas puntuaciones CVSS y las etiquetas de gravedad de Chromium reflejan sistemas de valoración diferentes. Por ejemplo, Google clasifica CVE-2026-113341 como crítica, mientras que su vector en el NVD le asigna una puntuación de 6,5 porque el efecto descrito se limita a la lectura de memoria dentro del sandbox.
Un fallo en Site Isolation recibe la mayor recompensa divulgada
Entre los errores de gravedad alta, CVE-2026-113101 recibió la mayor recompensa divulgada: 10.000 dólares para Quyen Son, de VinFast.
Esta vulnerabilidad de uso tras liberación afecta a Site Isolation en las versiones de Chrome anteriores a 156.0.8078.47. Según su descripción en el NVD, un atacante remoto podría utilizar una página HTML manipulada para ejecutar código arbitrario dentro del sandbox. Tiene una puntuación CVSS de 8,8 y está clasificada como CWE-416.
Otro problema de gravedad alta, CVE-2026-113097, es un defecto de uso tras liberación en FileSystem. Su entrada en el NVD también describe una posible ejecución de código dentro del sandbox mediante HTML manipulado y le asigna una puntuación CVSS de 8,8.
Google informó de que pagó un total de 50.000 dólares por 24 vulnerabilidades. No se divulgaron las recompensas de otros 44 problemas. El recuento de SecurityWeek indica que 285 vulnerabilidades no recibieron recompensa, entre ellas 266 atribuidas a Google y otras atribuidas a Xinyang Ge o a OpenAI Codex Security.
Los créditos de Google identifican algunos hallazgos como realizados con la ayuda de Claude, de Anthropic, o enviados a través de OpenAI Codex Security. Estas atribuciones describen cómo Google registró a los autores; por sí solas no establecen qué parte del descubrimiento o del análisis realizó de forma autónoma un sistema de IA.
Los detalles de explotación siguen restringidos durante el despliegue
Google señaló que los enlaces a los errores y los detalles técnicos podrían seguir sin estar disponibles hasta que la mayoría de los usuarios haya instalado la actualización. Las restricciones podrían prolongarse más si una vulnerabilidad afecta a una biblioteca de terceros que utilizan otros proyectos que aún no han publicado sus propias correcciones.
SecurityWeek informó de que el anuncio de Google no mencionaba que ninguna de las 353 vulnerabilidades se estuviera explotando en la práctica. Esa ausencia no debe interpretarse como confirmación de que se haya descartado la explotación.
Para los usuarios de escritorio y los administradores de empresas, la medida defensiva concreta es confirmar el despliegue de Chrome 156.0.8078.47/.48 en Windows y macOS o 156.0.8078.47 en Linux. Las compilaciones anteriores siguen dentro del rango afectado que corrige esta actualización de seguridad.
