NVD publica tres nuevas vulnerabilidades de Chrome 156 en V8, ComputePressure y ANGLE

Qué ha pasado

Estas tres vulnerabilidades se suman a las que recogimos el 21 de octubre en la noticia «Google corrige 353 vulnerabilidades en Chrome 156, seis de ellas críticas». Forman parte del mismo lanzamiento, que Google anunció el 20 de octubre en su blog de versiones, y NVD les ha asignado ahora su ficha y su puntuación.

Las tres permiten a un atacante remoto aprovecharse de la víctima si esta abre una página HTML manipulada:

• CVE-2026-113030 (CVSS 8.8): control de acceso inadecuado en V8, el motor de JavaScript de Chrome, que podría permitir eludir la política de origen web, la barrera que impide que una web acceda a los datos de otra.
• CVE-2026-113057 (CVSS 8.8): control de acceso inadecuado en el componente ComputePressure, que permite eludir esa misma política de origen web.
• CVE-2026-113143 (CVSS 8.8): corrupción de memoria en ANGLE, el componente gráfico de Chrome, que permite al atacante leer memoria del proceso.

A quién afecta

Están afectadas las versiones de Google Chrome anteriores a la 156.0.8078.47. Según el aviso de Google, la versión corregida es la 156.0.8078.47 en Linux y la 156.0.8078.47/.48 en Windows y Mac, que se está distribuyendo de forma escalonada a lo largo de los próximos días o semanas.

Hay una diferencia de criterio que conviene conocer: NVD puntúa las tres con CVSS 8.8 (gravedad alta), mientras que el propio equipo de Chromium las clasifica como de gravedad media. Para priorizar, lo relevante es que todas se corrigen con la misma actualización.

Estado de la explotación

No constan en el catálogo KEV de CISA, por lo que no hay explotación activa confirmada, y no se conoce ningún exploit público. FIRST estima en un 0.2 % la probabilidad de que se exploten en el próximo mes, de modo que por ahora se considera poco probable. Aun así, el vector de ataque es sencillo, ya que basta con que el usuario visite una web maliciosa, y Google mantiene restringidos los detalles técnicos hasta que la mayoría de usuarios haya actualizado.

Qué hacer

Si ya aplicaron Chrome 156 tras nuestra noticia anterior, no necesitan hacer nada más: estas tres vulnerabilidades quedan corregidas con esa misma actualización. Si no, conviene hacerlo ahora.

• Actualizar Google Chrome a la versión 156.0.8078.47 (Linux) o 156.0.8078.47/.48 (Windows y Mac).
• Comprobar la versión en Configuración > Información de Chrome y reiniciar el navegador para que el parche se aplique.
• En entornos gestionados, forzar la actualización mediante la consola o las políticas corporativas, sin esperar al despliegue escalonado de Google.
• Revisar el inventario de equipos para localizar instalaciones de Chrome que no se actualicen automáticamente.

Fuentes

• Google Chrome Releases: Stable Channel Update for Desktop (Chrome 156)

Tecnologías afectadas

Vulnerabilidades (3)