Procesando…
Web y ciberseguridad
Google corrige CVE-2026-85046, una vulnerabilidad del motor JavaScript V8 que ya está siendo explotada en ataques. Estas son las versiones afectadas y las comprobaciones que deben realizarse en Chrome.
Google ha corregido una vulnerabilidad importante en Chrome, registrada como CVE-2026-85046. La vulnerabilidad afecta a V8, el motor JavaScript del navegador, y Google confirma que ya existe un exploit en circulación. Por tanto, los usuarios de Chrome deben comprobar que su navegador ha recibido la actualización de seguridad publicada a principios de septiembre.
No se trata únicamente de un problema dirigido a los desarrolladores. Chrome se utiliza a diario para acceder a servicios de mensajería, herramientas empresariales, espacios de administración, servicios bancarios, SaaS y aplicaciones internas. Cuando una vulnerabilidad del navegador se explota activamente, el propio puesto de trabajo se convierte en un elemento importante de la seguridad del sistema de información.
La vulnerabilidad CVE-2026-85046 es un error de tipo «confusión de tipos» en V8. Puede permitir que un atacante remoto ejecute código arbitrario en la sandbox del navegador mediante una página HTML especialmente diseñada. Su puntuación CVSS se evalúa en 8,8 sobre 10, con una baja complejidad de ataque y sin necesidad de autenticación previa, aunque sigue siendo necesaria la interacción del usuario.
Google indica sobre todo que un exploit correspondiente a esta vulnerabilidad ya se utiliza en ataques reales. Por tanto, la corrección no debe considerarse una simple actualización opcional.
La vulnerabilidad se encuentra en V8, el motor JavaScript desarrollado por Google y utilizado por Chrome para interpretar y ejecutar el JavaScript presente en los sitios web.
V8 es un componente especialmente sensible del navegador. Cuando abrimos una aplicación web moderna, un servicio de mensajería, un panel de control o simplemente un sitio que contiene JavaScript, parte de ese código es procesada por este motor.
CVE-2026-85046 corresponde más concretamente a un error conocido como confusión de tipos. En programación, un dato tiene normalmente un tipo determinado y debe manipularse en consecuencia. Cuando un programa interpreta una zona de memoria como un tipo distinto del previsto, su comportamiento puede volverse impredecible y provocar problemas de seguridad.
En este caso, la descripción de la vulnerabilidad indica que una página HTML especialmente construida puede permitir que un atacante remoto ejecute código arbitrario dentro de la sandbox de Chrome.
La sandbox constituye precisamente una de las protecciones esenciales de los navegadores modernos: intenta aislar el contenido procedente de la Web del resto del ordenador. Por tanto, una vulnerabilidad capaz de ejecutar código en este entorno representa un primer paso potencialmente importante en una cadena de ataque.
Una vulnerabilidad suele calificarse como zero-day cuando los atacantes la explotan mientras los usuarios aún no disponen de la corrección necesaria, o cuando su explotación se descubre en el momento en que la corrección pasa a estar disponible.
Esto hace que la situación sea más urgente que una vulnerabilidad descubierta únicamente durante una auditoría de seguridad.
Google especifica expresamente que conoce la existencia de un exploit de CVE-2026-85046 «en circulación», es decir, utilizado fuera de un entorno de investigación o demostración.
Esto no significa que todos los ordenadores que utilicen una versión antigua de Chrome hayan sido comprometidos.
Una versión vulnerable significa que un ataque es posible. En cambio, un compromiso implica que el navegador haya encontrado efectivamente contenido que explota con éxito la vulnerabilidad.
La distinción es importante: el objetivo es corregir rápidamente el riesgo sin concluir automáticamente que se ha producido una intrusión.
Google publicó su corrección el 3 de septiembre de 2026 en Chrome 152.
Para los ordenadores, las versiones corregidas son las siguientes:
| Sistema | Versión mínima que debe utilizarse |
|---|---|
| Windows | Chrome 152.0.7977.82 o una versión posterior |
| Linux | Chrome 152.0.7977.82 o una versión posterior |
| macOS | Chrome 152.0.7977.83 o una versión posterior |
Por tanto, el CERT-FR considera afectadas las versiones anteriores a estos números.
Sin embargo, no debe utilizarse esta lista como motivo para permanecer voluntariamente en la primera versión corregida. Chrome sigue evolucionando rápidamente: si se ofrece una versión más reciente, es esta última la que debe instalarse.
Chrome normalmente instala sus actualizaciones automáticamente en segundo plano. Sin embargo, una actualización descargada puede quedar pendiente mientras no se reinicie el navegador.
Google recomienda comprobarlo directamente desde el navegador:
La página «Información de Google Chrome» también muestra el número exacto de la versión instalada.
Después de una vulnerabilidad explotada activamente, es preferible realizar esta comprobación manualmente en lugar de suponer que las actualizaciones automáticas ya han terminado necesariamente su trabajo.
Una situación bastante frecuente consiste en haber descargado una nueva versión de Chrome sin haberla aplicado realmente.
El navegador puede permanecer abierto durante varios días o semanas con numerosas pestañas. En ese caso, la actualización está disponible en el ordenador, pero el proceso de Chrome que se está utilizando continúa funcionando con la versión antigua.
Cerrar y volver a abrir el navegador permite aplicar la actualización pendiente. Google indica, además, que puede ser necesario reiniciar para finalizar la instalación.
En una empresa, preguntar simplemente a los usuarios si «las actualizaciones automáticas están activadas» no siempre es suficiente. Hay que poder controlar la versión que se está ejecutando realmente.
La cuestión va más allá de Chrome, ya que varios navegadores utilizan Chromium como base técnica.
Microsoft Edge forma parte de este ecosistema. Microsoft publicó una versión estable que integra las actualizaciones de seguridad del proyecto Chromium y confirma que su corrección tiene en cuenta CVE-2026-85046.
Para los demás navegadores basados en Chromium, hay que comprobar los boletines y las versiones publicados por su propio editor. Que una vulnerabilidad esté presente en un componente común no significa necesariamente que cada navegador tenga exactamente el mismo número de versión o el mismo calendario de actualización.
Por eso es preferible dejar que el mecanismo de actualización del navegador instalado determine la versión disponible, en lugar de intentar comparar directamente su número con el de Chrome.
Cuando se habla de ciberseguridad web, la atención suele centrarse en el servidor: CMS, framework, API, base de datos, alojamiento, contraseñas o firewall.
Sin embargo, el navegador merece la misma atención.
Es la interfaz utilizada para acceder a numerosos servicios sensibles:
Por tanto, un navegador comprometido puede encontrarse muy cerca de la información y los accesos que la empresa precisamente intenta proteger.
CVE-2026-85046 demuestra por qué el mantenimiento de un puesto de trabajo no debe limitarse al sistema operativo y al antivirus.
No necesariamente a la propia vulnerabilidad, pero las consecuencias de un puesto comprometido pueden ser más importantes cuando pertenece a una persona con acceso técnico.
Por ejemplo, un desarrollador puede estar conectado a GitHub, a un gestor de secretos, a una infraestructura en la nube, a un proveedor de alojamiento, a un back-office o a varios entornos de producción.
Esto no significa que la explotación de CVE-2026-85046 permita automáticamente recuperar todos esos accesos. Los navegadores, los sistemas operativos y los servicios utilizan varios niveles de protección.
Significa, en cambio, que los puestos con privilegios importantes requieren una política de actualización especialmente rigurosa.
Para una pequeña empresa o una pyme, la respuesta no tiene por qué ser compleja.
Controlar Chrome y los demás navegadores Chromium utilizados en los puestos de trabajo.
Hay que consultar el número de versión que se está ejecutando realmente, no limitarse a comprobar que la opción de actualización automática está activada.
Un navegador abierto desde hace varios días puede tener una actualización pendiente.
Los ordenadores que dan acceso al alojamiento, a las cuentas de administrador, a la nube, a los repositorios de código y a las herramientas empresariales deben tratarse con rapidez.
Un empleado puede utilizar Chrome a diario y conservar Edge u otro navegador instalado en su puesto.
Un software utilizado rara vez puede quedarse fácilmente varias versiones atrás.
La seguridad no debería depender únicamente de que un usuario recuerde abrir ocasionalmente la pantalla de actualizaciones.
En un parque informático profesional, el objetivo es saber qué software está instalado, quién lo mantiene y cómo comprobar que una corrección urgente se ha desplegado realmente.
No.
La publicación periódica de vulnerabilidades en Chrome no significa que el navegador sea intrínsecamente peligroso.
Chrome es un software extremadamente complejo, expuesto permanentemente a contenidos procedentes de Internet y estudiado por numerosos investigadores de seguridad. Por tanto, es normal que se sigan descubriendo vulnerabilidades.
El factor determinante es la capacidad del editor para identificar los problemas, publicar las correcciones y distribuirlas rápidamente.
En el caso de CVE-2026-85046, la corrección ya existe. La prioridad ahora consiste en garantizar que los usuarios la instalen efectivamente.
Los navegadores modernos han simplificado mucho las actualizaciones respecto al pasado. Para la mayoría de los usuarios, llegan automáticamente y requieren poca intervención.
Esta automatización es valiosa, pero no elimina por completo la necesidad de control.
Cuando una vulnerabilidad se explota activamente, resulta útil plantearse algunas preguntas sencillas:
El mismo razonamiento se aplica a los frameworks, las bibliotecas, los CMS, los sistemas operativos y las herramientas utilizadas para hacer funcionar un servicio digital.
CVE-2026-85046 recuerda que un ataque informático no empieza necesariamente con una vulnerabilidad espectacular en un servidor.
Una página web consultada desde un navegador vulnerable también puede constituir un punto de entrada.
Google ha publicado una corrección y confirma que la vulnerabilidad ya está siendo explotada. El CERT-FR también ha difundido la alerta. Para los usuarios, la respuesta inmediata sigue siendo sencilla: abrir la página «Información de Google Chrome», aplicar la actualización disponible y reiniciar el navegador.
Para una empresa, la enseñanza es más general: los navegadores forman parte del parque de software, al igual que las aplicaciones empresariales, los sistemas operativos o los componentes de un sitio web. Por tanto, su mantenimiento debe supervisarse y no darse simplemente por automático.
Artículo verificado el 7 de septiembre de 2026 a partir del boletín oficial de Google Chrome del 3 de septiembre, del aviso del CERT-FR del 4 de septiembre, de la información disponible sobre CVE y de la documentación de actualización de Google Chrome. Microsoft también confirmó la integración de la corrección de Chromium en Edge.
WEB Y CIBERSEGURIDAD
La auditoría del código, las dependencias y las rutas sensibles convierte una alerta técnica en un plan de acción controlado.
Introduce al menos 2 caracteres para iniciar la búsqueda.
