El 20 de octubre de 2026 Google lanzó Chrome 156 para Windows, Mac y Linux, corrigiendo 353 vulnerabilidades de seguridad, seis de las cuales han recibido un nivel de gravedad crítico. La actualización afecta a todas las plataformas de escritorio: compilaciones 156.0.8078.47 para Linux y 156.0.8078.47/.48 para Windows y Mac. La magnitud del parche es una de las mayores en la historia de Chrome: a modo de comparación, en Chrome 153 se corrigieron 230 vulnerabilidades. Se recomienda a todos los usuarios de Chrome en plataformas de escritorio que actualicen de inmediato.
Seis vulnerabilidades críticas
Según el boletín de seguridad oficial de Google, seis CVE han recibido una calificación de gravedad crítica. Todas ellas pertenecen a las clases de corrupción de memoria (memory corruption) o uso de memoria ya liberada (use-after-free), tipos de vulnerabilidades que potencialmente permiten ejecutar código arbitrario:
- CVE-2026-113341: corrupción de memoria en Skia (biblioteca gráfica), descubierta por Google
- CVE-2026-113279: corrupción de memoria en Accessibility, descubierta por Xinyang Ge
- CVE-2026-113072: corrupción de memoria en CSS, descubierta por Xinyang Ge
- CVE-2026-113280: corrupción de memoria en Paint, descubierta por Xinyang Ge
- CVE-2026-113271: use-after-free en Accessibility, descubierta por Xinyang Ge (Anthropic) con la ayuda de Claude
- CVE-2026-113303: corrupción de memoria en WebRTC, descubierta por OpenAI Codex Security (kylebot)
Google no ha publicado puntuaciones CVSS para estas vulnerabilidades. Los detalles de los fallos y los enlaces a ellos pueden permanecer ocultos hasta que la mayoría de los usuarios haya recibido la actualización.
Sistemas de IA como investigadores de vulnerabilidades
Una característica destacable de esta versión es la presencia de sistemas de IA en la lista de investigadores. Según el boletín de Google, la vulnerabilidad crítica CVE-2026-113271 fue descubierta con la ayuda de Claude (Anthropic), y la crítica CVE-2026-113303 se atribuye al equipo de OpenAI Codex Security. Además de las críticas, los sistemas de IA también figuran en vulnerabilidades de alta gravedad: un use-after-free en V8 (CVE-2026-113044) también fue descubierto por OpenAI Codex Security, y varias vulnerabilidades adicionales de alta gravedad se atribuyen a Xinyang Ge de Anthropic con la ayuda de Claude. Estas atribuciones solo han sido confirmadas por el boletín de Google; en el momento de la publicación no se ha encontrado confirmación pública independiente.
Magnitud y estructura de las correcciones
Además de las seis críticas, el boletín enumera decenas de vulnerabilidades de alta gravedad. Entre los componentes más afectados se encuentran:
- ANGLE (capa de abstracción gráfica): múltiples casos de corrupción de memoria, use-after-free y errores de validación de entrada
- V8 (motor JavaScript): corrupción de memoria y use-after-free
- WebRTC, WebGL, Canvas: componentes de multimedia y renderizado
- Navigation, SiteIsolation: mecanismos de aislamiento y navegación
- Extensions: múltiples problemas en el subsistema de extensiones
Una parte significativa de las vulnerabilidades fue descubierta por equipos internos de Google. Entre los investigadores externos figuran Xinyang Ge (tanto a título individual como en representación de Anthropic), Arni Hardarson de Neonix Security, Quyen Son de VinFast (que recibió la recompensa máxima indicada de 10 000 $ por la CVE-2026-113101, un use-after-free en SiteIsolation), así como varios investigadores independientes.
Cabe destacar por separado que una de las vulnerabilidades de gravedad media (CVE-2026-113079, un use-after-free en SiteIsolation) se registró inicialmente en marzo de 2021, es decir, permaneció sin corregir más de cinco años.
Estado de explotación
En el momento de la publicación, ninguna de las vulnerabilidades enumeradas se ha incluido en el catálogo CISA KEV. El boletín de Google no contiene indicios de explotación activa confirmada. No obstante, el nivel de gravedad crítico y la naturaleza de las vulnerabilidades —corrupción de memoria y use-after-free en componentes clave de renderizado y multimedia— las convierten en objetivos atractivos para el desarrollo de exploits.
Recomendaciones
- Actualice Chrome a la versión 156.0.8078.47 (Linux) o 156.0.8078.47/.48 (Windows/Mac) a través del menú «Ayuda → Información de Google Chrome»
- Reinicie el navegador después de la actualización: los parches solo entran en vigor tras el reinicio
- Compruebe los navegadores basados en Chromium (Microsoft Edge, Brave, Opera, Vivaldi): utilizan componentes comunes y probablemente recibirán actualizaciones similares en un futuro próximo
- Para administradores corporativos: dado que hay seis vulnerabilidades críticas en componentes de renderizado, prioricen el despliegue de la actualización sin esperar al ciclo estándar
Chrome 156 es una actualización de seguridad de gran alcance con un número récord de correcciones y seis vulnerabilidades críticas en componentes clave del navegador. Teniendo en cuenta que Google limita el acceso a los detalles de las vulnerabilidades hasta que los usuarios se actualizan de forma masiva, la ventana para aplicar el parche de forma segura es limitada. Actualice Chrome en todos los dispositivos gestionados a la versión 156.0.8078.47 o superior y asegúrese de que la actualización automática esté activa en las estaciones de trabajo no gestionadas.
