Google corrige 27 vulnerabilidades en Chrome, ocho de ellas críticas, con la versión 155.0.8059.79

Qué ha pasado

Google publicó el 13 de octubre una actualización del canal estable de Chrome para escritorio que corrige 27 vulnerabilidades. Se suman al fallo de autorización en Chromoting para Mac (CVE-2026-106195) del que informamos el 8 de octubre. Según NVD, todas están corregidas en la versión 155.0.8059.79. El aviso de Google en su blog Chrome Releases no aporta más detalle en el texto disponible, así que la información técnica procede de las fichas de NVD.

La mayoría son errores de memoria de tipo use after free, es decir, uso de memoria ya liberada. También hay desbordamientos de búfer, una confusión de tipos y dos fallos de autorización. En casi todos los casos basta con que la víctima abra una página web manipulada. Los más graves permiten salir del sandbox, la barrera que aísla las páginas web del resto del sistema.

• Críticas (CVSS 9.6), ejecución de código fuera del sandbox: CVE-2026-110136 (PDF), CVE-2026-110149 (Browser), CVE-2026-110142 (FileSystem) y CVE-2026-110161 (Network, mediante tráfico de red manipulado).
• Críticas (CVSS 9.6) solo en Chrome para Android: CVE-2026-110152 (ANGLE) y CVE-2026-110165 (Core).
• Críticas (CVSS 9.6) que requieren ejecutar un programa en el equipo: CVE-2026-110144 (Mojo, solo Windows) y CVE-2026-110159 (actualizador).
• Altas (CVSS 8.8), ejecución de código dentro del sandbox, en Media y WebRTC: CVE-2026-110137, CVE-2026-110139, CVE-2026-110151, CVE-2026-110153, CVE-2026-110167, CVE-2026-110171 y CVE-2026-110172.
• Altas (CVSS 8.8) en otros componentes: CVE-2026-110140, CVE-2026-110168 y CVE-2026-110169 (motor V8); CVE-2026-110147 y CVE-2026-110155 (PDF y PDFium); CVE-2026-110148 y CVE-2026-110157 (SVG); CVE-2026-110163 y CVE-2026-110164 (DOM); CVE-2026-110154 (Canvas); CVE-2026-110162 (Desktop) y CVE-2026-110166 (Animation).

A quién afecta

Afecta a cualquier equipo con Google Chrome anterior a la versión 155.0.8059.79. Dos de los fallos críticos solo afectan a Chrome para Android y uno solo a Windows; el resto no indica una plataforma concreta.

La clasificación interna de Chromium no siempre coincide con el CVSS. Por ejemplo, Google califica CVE-2026-110142 de gravedad media, mientras que CVE-2026-110148 y CVE-2026-110151 figuran como críticas pese a su CVSS 8.8.

Estado de la explotación

Ninguna de las 27 vulnerabilidades figura en el catálogo KEV de CISA, que recoge los fallos con explotación activa confirmada, y no se conoce ningún exploit público. FIRST estima una probabilidad de explotación en el próximo mes de entre el 0.1 % y el 0.3 %, por lo que por ahora se considera poco probable. Aun así, cinco de los ocho fallos críticos pueden activarse con solo visitar una web manipulada, y conviene no aplazar la actualización.

Qué hacer

La única medida definitiva es actualizar. Estos son los pasos recomendados:

• Actualizar Google Chrome a la versión 155.0.8059.79 o posterior en todos los equipos y reiniciar el navegador para que el cambio surta efecto.
• En entornos gestionados, comprobar con la consola de administración o la herramienta de inventario que no quedan equipos con versiones anteriores.
• Actualizar Chrome en los dispositivos Android corporativos desde Google Play o la plataforma de gestión de móviles.
• Confirmar que también se aplicó la corrección de CVE-2026-110136 y del resto del lote en los equipos que ya se actualizaron por el aviso del 8 de octubre.
• Recordar a los usuarios que extremen la precaución con enlaces y documentos PDF de origen desconocido hasta completar la actualización.

Fuentes

• Google Chrome Releases: Stable Channel Update for Desktop (13 October 2026)

Tecnologías afectadas

Vulnerabilidades (27)