CERT-In alerta a los usuarios de Chrome mientras Google corrige 37 fallas de seguridad, siete de ellas críticas

Se insta a los usuarios de computadoras a instalar las correcciones de seguridad de Chrome

El Equipo de Respuesta a Emergencias Informáticas de India, CERT-In, emitió una alerta el 14 de octubre de 2026 sobre vulnerabilidades de Google Chrome que podrían permitir a los atacantes ejecutar código malicioso, obtener información confidencial o interrumpir el funcionamiento de las computadoras afectadas. Google publicó un día antes correcciones para 37 fallas de seguridad, incluidas siete calificadas como críticas.

Las versiones afectadas son las anteriores a Chrome 155.0.8059.79 en Linux y a 155.0.8059.79/.80 en Windows y macOS. Los usuarios deben abrir la página «Información de Google Chrome», buscar actualizaciones y reiniciar el navegador cuando se les indique para completar la instalación.

El anuncio de lanzamiento para computadoras de Google, fechado el 13 de octubre, enumera siete vulnerabilidades críticas, 29 de gravedad alta y una de gravedad media. Las fallas afectan componentes relacionados con gráficos, documentos, redes, contraseñas y el software que ejecuta instrucciones de sitios web.

Google afirma que la distribución llevará días o semanas. Por ello, quienes busquen la actualización de inmediato quizá deban volver a comprobar más adelante, a medida que llegue a más computadoras.

¿Qué versiones necesitan actualizarse?

La alerta de CERT-In se refiere a la versión de escritorio de Chrome para Windows, macOS y Linux. El Centro de Coordinación del Equipo de Respuesta a Emergencias Informáticas de Hong Kong, HKCERT, enumera las mismas versiones afectadas y recomienda instalar las correcciones del proveedor.

• Linux: instale Chrome 155.0.8059.79 o una versión posterior.
• Windows: instale Chrome 155.0.8059.79/.80 o una versión posterior.
• macOS: instale Chrome 155.0.8059.79/.80 o una versión posterior.

El número de versión es importante porque las correcciones se distribuyen mediante la actualización del navegador. Una computadora puede seguir abriendo sitios web con normalidad aunque tenga instalada una versión que contenga estas fallas. En los hogares, la tarea inmediata es comprobar cada computadora. En las organizaciones, hay que determinar qué equipos recibieron la actualización y completaron el reinicio necesario del navegador.

La versión de Chrome aparece en «Ayuda» y luego «Información de Google Chrome», dentro del menú que se abre con los tres puntos en la parte superior derecha del navegador. Esa página también comprueba si hay una actualización disponible.

Siete fallas críticas afectan funciones esenciales del navegador

Google identifica CVE-2026-110152 como un desbordamiento de búfer crítico en ANGLE, un componente gráfico que utiliza Chrome. Un búfer es un espacio de memoria reservado para almacenar datos. Se produce un desbordamiento cuando el software escribe fuera de los límites de ese espacio, lo que puede dañar datos cercanos o permitir que un atacante interfiera en el funcionamiento de un programa.

Según el aviso de lanzamiento de Google, Zhenpeng (Leo) Lin, de depthfirst, informó sobre la vulnerabilidad de ANGLE el 30 de septiembre. Entre sus posibles consecuencias figuran fallas del sistema y la ejecución de código malicioso.

Las otras seis vulnerabilidades críticas son errores de uso de memoria después de liberarla. Afectan a los componentes Browser, PDF, Network, Core, SVG y Media. Estos componentes abarcan funciones que van desde la gestión de documentos y gráficos hasta las comunicaciones por red.

Un error de uso de memoria después de liberarla se produce cuando el software sigue utilizando un espacio de memoria tras haberlo liberado. Es como si un programa tratara una ubicación de almacenamiento antigua como si los datos todavía le pertenecieran, aunque ese espacio ya pueda contener otra cosa. Un atacante podría influir en el contenido que lo reemplaza e interrumpir o redirigir el programa.

Google enumera los seis identificadores de las vulnerabilidades críticas como CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 y CVE-2026-110151. Junto con la falla de ANGLE, suman siete de las 37 correcciones, es decir, aproximadamente una de cada cinco.

¿Qué podría ocurrir en una computadora afectada?

CERT-In advierte que la explotación de estas vulnerabilidades podría dar lugar a la ejecución de código arbitrario, la divulgación de información confidencial o la denegación de servicio. En términos cotidianos, esos resultados implican ejecutar instrucciones elegidas por un atacante, exponer datos privados o hacer que el software deje de funcionar correctamente.

El boletín de seguridad de Chrome de HKCERT, también fechado el 14 de octubre, enumera dos posibles consecuencias adicionales: la elevación de privilegios y la elusión de restricciones de seguridad. La primera consiste en obtener permisos que normalmente no se concederían; la segunda, en eludir una regla de protección.

HKCERT asigna al boletín una calificación de riesgo medio, mientras que la lista de Google califica como críticas siete fallas individuales. Las dos evaluaciones tienen alcances distintos: HKCERT califica el boletín en su conjunto, mientras que Google clasifica cada vulnerabilidad por separado. La medida recomendada por HKCERT es instalar las correcciones.

El boletín de HKCERT enumera los identificadores CVE-2026-110136 a CVE-2026-110172, una secuencia que incluye los 37 identificadores. Los números CVE sirven como etiquetas de referencia que ayudan a los fabricantes de software y a los administradores a identificar el mismo problema de seguridad en distintos avisos y actualizaciones.

También hay fallas que afectan a las contraseñas, JavaScript y los documentos

Entre las 29 correcciones de gravedad alta de Google figuran problemas en V8, el motor de JavaScript de Chrome. JavaScript proporciona instrucciones que permiten la interactividad de muchos sitios web. Puede surgir una vulnerabilidad en el motor mientras el navegador procesa esas instrucciones.

Las fallas de V8 incluyen un error de confusión de tipos, CVE-2026-110140, y dos errores de uso de memoria después de liberarla, CVE-2026-110168 y CVE-2026-110169. La confusión de tipos se produce cuando el software trata un dato como si fuera de un tipo distinto, lo que puede dar lugar a operaciones de memoria inseguras.

El componente de contraseñas de Chrome tiene tres fallas de gravedad alta: una filtración de información y dos errores de uso de memoria después de liberarla. Otras correcciones afectan a Extensions, WebRTC, DOM, Canvas y PDFium. Estos componentes permiten usar extensiones, comunicarse desde el navegador, procesar la estructura de las páginas web, dibujar y trabajar con archivos PDF.

Google también enumera fallas relacionadas con los permisos en ReadingMode, Installer, Updater y Mojo. Por ejemplo, un error de autorización se refiere a que un programa no comprueba correctamente si una acción está permitida. La única falla de gravedad media es una vulnerabilidad de uso de memoria después de liberarla en FileSystem, identificada como CVE-2026-110142.

La amplitud de la lista explica por qué la actualización es importante, más allá de una actividad específica de navegación. Chrome procesa texto, scripts, gráficos, documentos y datos de red, y esta versión corrige fallas en varias de esas vías de procesamiento.

¿Quién informó sobre las vulnerabilidades?

Según los reconocimientos de Google, Xinyang Ge, de Anthropic, informó el 28 de septiembre sobre la vulnerabilidad de gravedad alta de V8 CVE-2026-110169, con la ayuda de Claude. El aviso identifica al investigador, la organización y la ayuda recibida, pero no ofrece más detalles sobre la función de Claude.

Google también reconoce a Xinyang Ge por varios hallazgos más, incluidas vulnerabilidades críticas en PDF, SVG y Media. La propia Google informó sobre los errores críticos de Browser, Network y Core. Entre los demás colaboradores mencionados figuran Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa y Andrew Boni.

Las fechas de divulgación muestran que esta versión reúne hallazgos realizados a lo largo de varios meses. La lista de Google incluye una vulnerabilidad de Bindings notificada el 25 de marzo y otras más recientes de Media, notificadas el 6 de octubre. Todas se corrigen en esta versión estable.

Por qué algunos detalles técnicos siguen restringidos

Google afirma que el acceso a algunos registros de errores podría seguir restringido mientras los usuarios reciben la actualización. Srinivas Sista, quien publicó el anuncio de lanzamiento de Google Chrome, explicó la política de divulgación de la empresa:

«El acceso a los detalles de los errores y a los enlaces podría mantenerse restringido hasta que la mayoría de los usuarios haya recibido una corrección».

Google también señala que las restricciones pueden mantenerse cuando una vulnerabilidad afecta a una biblioteca utilizada por otros proyectos que todavía no la han corregido. Una biblioteca es un componente de software reutilizable, por lo que el mismo error subyacente puede requerir trabajo de varios equipos de desarrollo.

El aviso de lanzamiento indica los componentes afectados y los tipos de errores, pero limita el acceso a algunos registros técnicos más detallados. Para los usuarios, la información práctica es cuál es la versión que incluye las correcciones. Para los administradores, los identificadores permiten comparar esta versión con los registros de vulnerabilidades y los inventarios de software.

De los informes de investigación a la alerta pública

Las fechas clave muestran cómo los hallazgos individuales dieron lugar a una actualización del navegador y, después, a alertas públicas de seguridad:

• 28 de septiembre de 2026: Xinyang Ge, de Anthropic, informó sobre CVE-2026-110169 en V8, con la ayuda de Claude.
• 30 de septiembre: Zhenpeng (Leo) Lin, de depthfirst, informó sobre el desbordamiento de búfer crítico de ANGLE.
• Del 1 al 6 de octubre: Google y otros investigadores informaron sobre varias vulnerabilidades críticas y de gravedad alta incluidas en esta versión.
• 13 de octubre: Google anunció la actualización estable de Chrome, que incluye 37 correcciones de seguridad.
• 14 de octubre: CERT-In emitió su alerta y HKCERT publicó su boletín, que abarca los mismos 37 identificadores.

La fecha de lanzamiento de Google marca el inicio de la distribución. Como la empresa indica que el despliegue llevará días o semanas, la actualización seguirá distribuyéndose después del anuncio. Por eso conviene volver a comprobar si hay una actualización disponible en las computadoras que inicialmente no la encuentren.

Cómo completar la actualización

Los usuarios de Chrome pueden comenzar desde la pantalla de actualización integrada en el navegador. Los pasos son sencillos:

• Abra Chrome y seleccione el menú de los tres puntos de la parte superior derecha.
• Seleccione «Ayuda» y luego «Información de Google Chrome».
• Espere a que Chrome busque y descargue una actualización disponible.
• Guarde cualquier trabajo pendiente y seleccione «Reiniciar» si se le solicita.
• Vuelva a la página «Información» para comprobar la versión instalada.

Es importante reiniciar el navegador porque descargar la actualización y usar la versión actualizada son dos pasos distintos. Mantener abierta una sesión antigua del navegador puede retrasar la finalización de la instalación.

Las organizaciones deben comprobar las versiones instaladas en sus computadoras de escritorio, incluidos los dispositivos cuyos usuarios rara vez cierran el navegador. El objetivo concreto es confirmar que los equipos ejecutan la versión que contiene las correcciones y que se completó cualquier reinicio necesario.

Quienes todavía no vean la actualización deben volver a comprobarlo mientras Google la distribuye. El aviso oficial de lanzamiento indica que el despliegue puede llevar días o semanas, por lo que no se espera que todas las computadoras la reciban el mismo día del anuncio.

Los usuarios de Edge también deben estar atentos a las correcciones

Microsoft Edge utiliza Chromium, la plataforma de navegador en la que también se basa Chrome. Por ello, algunas vulnerabilidades de ese software compartido pueden requerir correcciones también en Edge.

Microsoft reconoció las últimas correcciones de seguridad de Chromium en un aviso fechado el 13 de octubre y dijo que estaba trabajando en una actualización. En el momento de la alerta, todavía no se había publicado la correspondiente actualización de seguridad del canal estable y Microsoft no había anunciado una fecha de lanzamiento.

Los usuarios de Edge deben buscar la actualización de Microsoft cuando esté disponible. Quienes utilizan ambos navegadores deben comprobar cada uno: Chrome recibe su actualización de seguridad de Google y Edge, de Microsoft.

Puntos clave

• El 14 de octubre de 2026, CERT-In alertó a los usuarios de la versión de escritorio de Chrome sobre vulnerabilidades que podrían exponer datos, interrumpir el funcionamiento del software o permitir la ejecución de código malicioso.
• La actualización de Google del 13 de octubre corrige 37 fallas: siete críticas, 29 de gravedad alta y una de gravedad media.
• Las versiones corregidas son 155.0.8059.79 para Linux y 155.0.8059.79/.80 para Windows y macOS, o versiones posteriores.
• Los usuarios deben ir a «Ayuda» y luego a «Información de Google Chrome», instalar la actualización y reiniciar el navegador cuando se les indique.
• Google señala que la distribución puede llevar días o semanas. Microsoft todavía no había anunciado una fecha para la correspondiente actualización estable de Edge.