Google corrige ocho vulnerabilidades en Chrome, dos de ellas críticas, con la versión 155.0.8059.84

Qué ha pasado

Google ha lanzado el 15 de octubre una actualización del canal estable de Chrome para escritorio que corrige ocho vulnerabilidades, todas aprovechables a distancia mediante una página HTML manipulada. Basta con que el usuario abra esa página para que se desencadene el ataque. Los detalles técnicos proceden de las fichas publicadas en NVD; la entrada del blog de Chrome Releases confirma el lanzamiento, pero el texto disponible no incluye más información.

La más grave es CVE-2026-110916 (CVSS 9.6), un fallo de validación de la entrada en el componente Desktop que podría permitir ejecutar código arbitrario fuera de la sandbox (entorno aislado) del navegador, es decir, con acceso al sistema. Llama la atención que Google la clasifica con gravedad «media» en su propia escala, mientras que NVD le asigna una puntuación crítica. La segunda destacada es CVE-2026-110922 (CVSS 8.8), un use-after-free (uso de memoria liberada) en Prerender que Google sí califica como crítico.

Las otras seis vulnerabilidades tienen un CVSS de 8.8 y permitirían ejecutar código arbitrario dentro de la sandbox. Combinadas con un fallo que permita escapar de ella, como CVE-2026-110916, el riesgo aumenta considerablemente.

• Motor JavaScript V8: CVE-2026-110919 y CVE-2026-110921 (use-after-free) y CVE-2026-110920 (corrupción de memoria), las tres de gravedad alta según Google.
• DOM: CVE-2026-110913 (corrupción de memoria, gravedad alta).
• Workers: CVE-2026-110914 (corrupción de memoria, gravedad media).
• Compositing: CVE-2026-110915 (use-after-free, gravedad media).

A quién afecta

Afecta a Google Chrome para escritorio en cualquier versión anterior a la 155.0.8059.84. Tanto los equipos de usuarios particulares como los puestos corporativos están expuestos mientras no se actualice el navegador y se reinicie.

Estado de la explotación

Ninguna de las ocho vulnerabilidades figura en el catálogo KEV de CISA, por lo que no hay constancia de explotación activa, y tampoco se conoce ningún exploit público. FIRST estima que la probabilidad de explotación en el próximo mes es baja para todas ellas (entre el 0.2 % y el 0.3 %).

Esto no resta importancia a la actualización: los fallos de navegador que solo requieren visitar una web son un objetivo habitual de los atacantes, y una vez publicado el parche es más fácil analizarlo para desarrollar exploits.

Qué hacer

La recomendación es actualizar Chrome cuanto antes, sin esperar al ciclo habitual de parcheo, dado el CVSS 9.6 de CVE-2026-110916.

• Actualizar Google Chrome a la versión 155.0.8059.84 o posterior y reiniciar el navegador para que el parche se aplique.
• En entornos gestionados, forzar la actualización desde la consola de administración y verificar que todo el parque ha alcanzado esa versión.
• Comprobar que no quedan equipos con versiones antiguas, por ejemplo portátiles que se conectan poco a la red corporativa.
• Vigilar si los fabricantes de otros navegadores basados en Chromium que se usen en la organización publican sus propias actualizaciones.

Fuentes

• Chrome Releases: Stable Channel Update for Desktop (15 October 2026)

Tecnologías afectadas

Vulnerabilidades (8)