Actualizar Chrome cuanto antes se ha vuelto casi obligatorio con la llegada de Chrome 154, la versión que Google acaba de promover al canal estable para Windows, Mac y Linux con un total de 108 correcciones de seguridad. Algunas de ellas están catalogadas como críticas, y por eso conviene no dejar pasar la actualización más de la cuenta. El despliegue no llega a todo el mundo de golpe, sino que se irá completando durante los próximos días y semanas.
La nueva build del navegador arranca con los números 154.0.8037.57 para Linux y 154.0.8037.57/.58 para Windows y Mac. Como el reparto es escalonado, lo más sensato es entrar en el menú de ayuda y comprobar si el parche ya ha aterrizado en el equipo antes de darlo por sentado. Google también ha detallado las recompensas económicas que ha entregado a los investigadores que reportaron cada fallo antes de hacerlo público.
Vulnerabilidades críticas en ANGLE, GPU y WebGL
La parte de seguridad es la gran protagonista de este lanzamiento, con varios fallos críticos capaces de permitir la ejecución de código arbitrario. El CVE-2026-95350, un desbordamiento de búfer en ANGLE, se saldó con una recompensa de unos 4.650 euros para los investigadores de STAR Labs SG Pte. Ltd. Billy Jheng Bing Jhong, Muhammad Alifa Ramdhan y Pan Zhenpeng, que lo comunicaron el 24 de agosto. El CVE-2026-95357, una escritura fuera de los límites en la GPU, sumó unos 2.300 euros para un investigador anónimo que lo reportó el 1 de julio.
Y la lista de críticos no se queda ahí. Google ha corregido también el CVE-2026-95339, un use after free en ServiceWorker reportado por Andrew Boni el 18 de agosto, el CVE-2026-95313, otro use after free en Fullscreen hallado por WinD39 – Huynh Dinh Vu el 26 de agosto, y el CVE-2026-95349, un desbordamiento de búfer en WebGL detectado internamente por Google el 27 de agosto. Los detalles técnicos de varios de estos fallos de seguridad seguirán restringidos hasta que la mayoría de usuarios haya actualizado su equipo.
Link affiliatoFallos use after free en componentes clave
Buena parte de los parches de esta versión corresponden a errores use after free, un tipo de fallo de memoria muy aprovechado en ataques reales porque permite manipular datos que ya habían sido liberados. Entre los de severidad alta aparecen el CVE-2026-95348 en Bluetooth, el CVE-2026-95335 en HID, reportado por WinD39 – Huynh Dinh Vu el 1 de septiembre, y el CVE-2026-95299 en la GPU, detectado por Google el 15 de septiembre.
En la misma categoría caen el CVE-2026-95351 en Views y el CVE-2026-95310 en AdFilter, ambos reportados por Xinyang Ge el 16 de septiembre. Este tipo de vulnerabilidades suele afectar a componentes que gestionan recursos compartidos entre procesos, así que mantener el navegador al día sigue siendo la vía más directa para rebajar el riesgo, sobre todo si se navega por páginas de confianza limitada o se usan extensiones con acceso a la memoria del sistema.
El motor V8 y las DevTools también reciben lo suyo
El motor JavaScript V8 y las DevTools tampoco se han quedado sin atención en este ciclo. Se han solucionado el CVE-2026-95280, una condición de carrera en V8 detectada por Google el 12 de septiembre, y dos hallazgos del mismo día firmados por OpenAI Codex Security (amyb): el CVE-2026-95304, una escritura fuera de los límites, y el CVE-2026-95306, una confusión de tipos, ambos en V8. Las condiciones de carrera y las confusiones de tipos en el motor de ejecución de JavaScript resultan especialmente delicadas porque pueden acabar en la ejecución de código no autorizado dentro de la propia pestaña del navegador.
Sobre Chrome 154
Link affiliatoFuente
Imagen: softzone.es