La actualización ChromeOS M-156 corrige 12 vulnerabilidades críticas del navegador y defectos peligrosos en el kernel

El 20 de octubre de 2026 Google publicó la actualización ChromeOS M-156 (versión 16836.19.0, navegador 156.0.8078.42) para el canal estable, según el boletín oficial. La actualización corrige 12 vulnerabilidades críticas en el componente de navegador Chrome, decenas de vulnerabilidades de alta gravedad, así como defectos peligrosos a nivel de kernel en los controladores Mali y en el componente arc-keymaster, capaces de provocar corrupción de memoria en el kernel y escape del entorno invitado. Se recomienda a los usuarios de ChromeOS y ChromeOS Flex aplicar la actualización de inmediato.

Vulnerabilidades críticas del navegador

La actualización corrige 12 vulnerabilidades a las que Google ha asignado el nivel Critical. La gran mayoría de ellas pertenecen a la clase use after free (uso de memoria ya liberada), uno de los tipos de defectos más peligrosos, que permite a un atacante tomar el control del flujo de ejecución del programa. Las vulnerabilidades críticas afectan a un amplio abanico de componentes del navegador:

• CVE-2026-106347 — use after free en Track
• CVE-2026-106358 — use after free en Navigation
• CVE-2026-110151 — use after free en Media
• CVE-2026-110148 — use after free en SVG
• CVE-2026-110161 — use after free en Network
• CVE-2026-110136 — use after free en PDF
• CVE-2026-110149 — use after free en Browser
• CVE-2026-110922 — use after free en Prerender
• CVE-2026-113271 — use after free en Accessibility
• CVE-2026-113303 — corrupción de memoria en WebRTC
• CVE-2026-113280 — corrupción de memoria en Paint
• CVE-2026-113072 — corrupción de memoria en CSS

Según los datos de NVD, para CVE-2026-110151 y CVE-2026-110148 un atacante remoto puede ejecutar código arbitrario dentro de la sandbox mediante una página HTML especialmente manipulada. La valoración CISA-ADP según CVSS 3.1 para ambas vulnerabilidades es de 8.8 (High) con el vector AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Cabe destacar que Google clasifica estas vulnerabilidades como Critical según su propia escala de gravedad de Chromium, mientras que CISA-ADP les asigna una calificación High: son sistemas de evaluación distintos y no deben mezclarse.

Además de las críticas, la actualización incluye más de 50 vulnerabilidades de nivel High, entre las que se encuentran use after free en V8, WebRTC, Media, PDF, DOM, Passwords, Canvas, así como type confusion en V8 (CVE-2026-106240, CVE-2026-110140), corrupción de memoria en V8, SVG, Core, Dawn, ServiceWorker, así como errores de autorización en FileSystem y Updater.

Vulnerabilidades a nivel de kernel y componentes de terceros

Merecen especial atención las correcciones que van más allá del código del navegador y afectan a componentes del sistema ChromeOS:

• arc-keymaster — un error de comportamiento indefinido (fall-off-end UB) en la función CrosKeyFactory::GetOperationFactory permite realizar una llamada indirecta arbitraria desde el entorno invitado al anfitrión (guest-to-host). Nivel de gravedad: High.
• mali_kbase — una doble liberación (double-free) de la estructura dma_buf_attachment en la ruta de manejo de errores de kbase_mem_from_umm conduce a corrupción de memoria en el kernel. Nivel: High.
• Mali (mt8196) — un use after free durante la migración de páginas en kbase_vmap_phy_pages permite a un usuario sin privilegios corromper la memoria del kernel en dispositivos con el chip mt8196. Nivel: High.
• Certificados CA de terceros — el compromiso de certificados de autoridades de certificación de terceros provoca el compromiso de TLS para todos los clientes. Nivel: Medium.

Las vulnerabilidades en los controladores Mali y en arc-keymaster son especialmente peligrosas: permiten que un atacante que haya obtenido acceso inicial mediante un exploit del navegador pueda, potencialmente, salir de la sandbox y obtener control a nivel de kernel o del sistema anfitrión. Esto convierte la cadena de explotación de una ejecución de código limitada dentro de la sandbox en un compromiso completo del dispositivo.

Evaluación del impacto

La magnitud de la actualización es una de las mayores para ChromeOS en 2026. Doce vulnerabilidades críticas en un solo lanzamiento es una situación poco habitual. Anteriormente analizamos la actualización de Chrome 153 con cinco vulnerabilidades críticas, que ya se consideraba significativa.

Corren mayor riesgo las organizaciones que utilizan ChromeOS en centros educativos y entornos corporativos, donde los dispositivos Chromebook están desplegados de forma masiva y pueden actualizarse con retraso. Los dispositivos basados en el chip mt8196 son adicionalmente vulnerables debido al defecto del controlador Mali. Los datos disponibles no contienen información sobre explotación activa de las vulnerabilidades mencionadas; sin embargo, la ausencia de dicha información no significa que la explotación no esté produciéndose.

Recomendaciones

1. Actualice ChromeOS de inmediato a la versión 16836.19.0 (navegador 156.0.8078.42) a través del canal estable. Para parques de dispositivos gestionados, inicie una actualización forzada desde la consola de administración de Google.
2. Compruebe la versión actual en cada dispositivo: Configuración → Acerca de ChromeOS. Asegúrese de que la versión del navegador no sea inferior a 156.0.8078.42.
3. Para dispositivos con mt8196, priorice la actualización debido a la vulnerabilidad del controlador Mali, que permite corrupción de memoria del kernel sin privilegios.
4. Consulte el boletín de seguridad de Android de octubre de 2026: la actualización de ChromeOS también incluye estas correcciones.

Teniendo en cuenta las 12 vulnerabilidades críticas del navegador con posibilidad de ejecución remota de código a través de páginas HTML maliciosas y los tres defectos a nivel de kernel capaces de conducir a un compromiso completo del dispositivo, no se debe posponer la aplicación de esta actualización. Los administradores de parques de dispositivos ChromeOS gestionados deben lanzar la actualización forzada a la versión 16836.19.0 en cuestión de horas, no de días.