Google y Mozilla publicaron Chrome 156 y Firefox 159 el 27 de octubre, con los que corrigen más de 200 vulnerabilidades de seguridad. La actualización de Chrome incluye cuatro fallos críticos, mientras que las correcciones de Firefox abarcan escapes del sandbox y otras debilidades, según SecurityWeek. Ninguno de los dos fabricantes mencionó explotación activa, según informó la publicación.
El boletín de versiones de Google enumera 52 correcciones de seguridad: cuatro con gravedad crítica, 46 con gravedad alta y dos con gravedad media. Las vulnerabilidades críticas son una corrupción de memoria en FileSystem, identificada como CVE-2026-118306; una validación de entrada inadecuada en FileAPI y Skia, con los identificadores CVE-2026-118331 y CVE-2026-118348; y un fallo de uso tras liberación en Layout, CVE-2026-118344.
Según SecurityWeek, CVE-2026-118306 podría permitir la ejecución arbitraria de código fuera del sandbox de Chrome mediante una página HTML manipulada. Esto describe una posible vía de explotación, y no un ataque observado.
Según informó SecurityWeek, las compilaciones corregidas de Chrome se están distribuyendo con las versiones 156.0.8078.73 y 156.0.8078.74 para Windows y macOS, y con la 156.0.8078.73 para Linux. Google indica que el acceso a algunos detalles de los fallos podría seguir restringido hasta que la mayoría de los usuarios reciba las correcciones, o mientras otros proyectos que usan una biblioteca de terceros afectada sigan sin corregir.
Firefox 159 corrige 167 defectos de seguridad, entre ellos 108 con gravedad alta, según el relato de SecurityWeek sobre el anuncio de Mozilla. La mayoría de las correcciones se refieren a fallos de uso tras liberación, que implican que el software accede a memoria después de haber sido liberada. La actualización también aborda escapes del sandbox, escalada de privilegios, problemas de límites incorrectos y elusiones de la política de mismo origen; estas últimas implican restricciones que separan el contenido de distintos orígenes web.
Mozilla también publicó Firefox ESR 153.6 y 115.44, junto con Thunderbird 159 y 153.6, el 27 de octubre. SecurityWeek informó de que estas versiones corrigen muchas de las mismas vulnerabilidades; el total de Firefox 159 no debe tomarse como el número de correcciones de cada una de esas versiones independientes.
