Ciberseguridad

Google ha publicado una nueva actualización de seguridad para Chrome que corrige 18 vulnerabilidades, entre ellas cuatro fallos considerados críticos. La compañía recomienda instalar cuanto antes la última versión del navegador, ya que varios de los errores afectan a componentes sensibles como WebGL y Autocompletar y podrían facilitar la ejecución de código malicioso.

La actualización eleva Chrome a las versiones 149.0.7827.196 y 149.0.7827.197 en Windows y macOS, mientras que los usuarios de Linux recibirán la versión 149.0.7827.196. El despliegue comenzó tras el anuncio realizado el 23 de junio de 2026 y se completará de manera progresiva durante los próximos días y semanas.

Aunque Google no ha confirmado que estas vulnerabilidades estén siendo explotadas activamente, la presencia de varios errores graves relacionados con la gestión de memoria incrementa el nivel de riesgo. Los usuarios particulares y las organizaciones deberían comprobar que las actualizaciones automáticas están activadas y que el navegador se encuentra en la versión más reciente.

Cuatro vulnerabilidades críticas

Los fallos más importantes incluidos en esta actualización son CVE-2026-13028, CVE-2026-13032, CVE-2026-13033 y CVE-2026-13038.

Dos de ellos afectan a WebGL, la tecnología que permite mostrar gráficos avanzados dentro del navegador. CVE-2026-13028 y CVE-2026-13032 son vulnerabilidades de tipo use-after-free, un problema que se produce cuando un programa intenta utilizar una zona de memoria después de haberla liberado.

Este tipo de error puede provocar bloqueos, corrupción de datos o, en el peor de los casos, permitir que un atacante ejecute código en el equipo. Un ciberdelincuente podría intentar aprovecharlo mediante una página web especialmente preparada para explotar el fallo mientras la víctima navega.

CVE-2026-13033 es una lectura fuera de los límites permitidos, mientras que CVE-2026-13038 afecta al componente Autocompletar de Chrome. Esta última vulnerabilidad resulta especialmente delicada porque esta función puede gestionar direcciones, datos personales e información relacionada con métodos de pago.

La existencia de un fallo en este apartado no significa automáticamente que los atacantes puedan robar todos los datos almacenados, pero sí aumenta el posible impacto de una explotación exitosa.

Más errores graves en componentes importantes

Además de los cuatro fallos críticos, Google ha corregido 14 vulnerabilidades clasificadas con gravedad alta.

Los errores afectan a diferentes componentes de Chrome, entre ellos el motor de renderizado Blink, el procesamiento gráfico mediante GPU, Web Authentication, FileSystem y las herramientas para desarrolladores.

Varias de estas vulnerabilidades también son errores use-after-free. Otras están relacionadas con el uso de memoria sin inicializar, validaciones insuficientes de datos no fiables e implementaciones inadecuadas de determinadas funciones.

Estas debilidades pueden tener consecuencias diferentes según el componente afectado. Algunas podrían provocar el cierre inesperado del navegador, mientras que otras podrían facilitar la filtración de información o la ejecución de código.

Los atacantes suelen combinar varias vulnerabilidades para conseguir un compromiso más profundo. Por ejemplo, un fallo de memoria puede permitir ejecutar código dentro del navegador, pero sería necesario combinarlo con otra vulnerabilidad para escapar del entorno aislado de Chrome y alcanzar el resto del sistema.

Google restringe los detalles técnicos

Google mantiene limitado el acceso a los informes completos de los errores y a posibles pruebas de concepto hasta que una parte importante de los usuarios haya instalado la actualización.

Esta práctica es habitual en las actualizaciones de seguridad. Su objetivo es evitar que los ciberdelincuentes dispongan inmediatamente de información detallada para crear ataques mientras todavía existen millones de navegadores sin actualizar.

Una vez que el parche alcanza a la mayoría de los usuarios, Google suele ampliar la información disponible sobre las vulnerabilidades.

La compañía también puede mantener las restricciones durante más tiempo cuando el problema afecta a una biblioteca utilizada por otros programas que todavía no han publicado sus propias correcciones.

Herramientas automáticas ayudaron a encontrar los fallos

Google explicó que varias de las vulnerabilidades fueron identificadas mediante técnicas avanzadas de análisis automático.

Entre las herramientas empleadas se encuentran AddressSanitizer, libFuzzer y AFL, diseñadas para detectar errores de memoria y comportamientos inesperados al someter el software a grandes cantidades de datos y situaciones anómalas.

Este proceso, conocido como fuzzing, consiste en introducir entradas aleatorias o especialmente diseñadas en un programa para comprobar si se bloquea, accede a zonas de memoria indebidas o muestra comportamientos que puedan revelar una vulnerabilidad.

Algunos de los fallos también fueron localizados internamente por los equipos de seguridad de Google, lo que demuestra la importancia de combinar investigaciones externas con revisiones continuas del propio código.