Google ha comenzado el despliegue global de una nueva actualización de seguridad para su navegador Chrome (versión 151.0.7922.137/.138 para Windows y macOS, y .137 para Linux), abordando cinco vulnerabilidades de alta gravedad. Todos los fallos resueltos en este ciclo pertenecen a la clase de seguridad de memoria conocida como Uso Después de Liberación (Use-After-Free o UAF).
El riesgo: Ejecución de código a través de los motores principales
Las vulnerabilidades UAF se producen cuando el software continúa accediendo a un espacio de memoria que ya ha sido liberado o vaciado. En el contexto de un navegador web, los ciberdelincuentes pueden explotar estas debilidades sin necesidad de vulnerar la red corporativa perimetral; basta con engañar a la víctima para que interactúe con scripts web maliciosos, elementos HTML manipulados o extensiones fraudulentas. Una explotación exitosa puede derivar en la caída del navegador, la fuga de información confidencial o, en el peor de los escenarios, la Ejecución Remota de Código (RCE).
El riesgo se concentra en subsistemas críticos de Chrome que poseen amplios permisos para interactuar con el contenido web. Destacan:
- CVE-2026-19556: Un fallo en V8, el motor de JavaScript y WebAssembly de código abierto de Chrome. Dado que V8 procesa el código proporcionado directamente por la web, sigue siendo uno de los objetivos principales para los atacantes.
- CVE-2026-19560 y CVE-2026-19559: Vulnerabilidades que afectan respectivamente al motor de renderizado Blink y al componente de análisis y procesamiento de HTML.
- CVE-2026-19558 y CVE-2026-19557: Fallos localizados en la API de extensiones de Chrome y en la interfaz de usuario de las pestañas (TabStrip).
Plan de acción y despliegue corporativo
Siguiendo su protocolo de seguridad estándar, Google ha restringido temporalmente el acceso público a los detalles técnicos y a cualquier Prueba de Concepto (PoC) sobre estas cinco vulnerabilidades. Esta medida busca minimizar el riesgo de que los actores de amenazas conviertan la información del parche en un arma (weaponization) antes de que la mayoría de los usuarios haya actualizado sus sistemas.
Los equipos de administración de TI y los Centros de Operaciones de Seguridad (SOC) deben priorizar el despliegue de esta versión a través de sus plataformas de gestión de dispositivos y parches (MDM).
Para las actualizaciones manuales o equipos fuera del dominio principal, se debe instruir a los usuarios para que fuercen la descarga navegando al menú de Chrome > Ayuda > Acerca de Google Chrome, lo cual requerirá un reinicio del navegador para que los parches de seguridad de la memoria se apliquen correctamente.
