Google ha distribuido una actualización urgente de Chrome para corregir CVE-2026-85046, un zero-day en V8 con explotación activa. La solución pasa por actualizar a Chrome 152.0.7977.82 o superior y reiniciar el navegador para aplicar el parche.
Google ha lanzado una actualización urgente para Chrome tras detectar la explotación activa de CVE-2026-85046, un día cero de severidad alta en V8, el motor de JavaScript y WebAssembly del navegador. El fallo permite que un atacante remoto ejecute código arbitrario dentro del sandbox si la víctima visita una página HTML manipulada, un escenario típico en campañas que combinan enlaces, malvertising o páginas comprometidas.
El defecto se encuadra en una confusión de tipos en V8, una clase de vulnerabilidad que suele abrir la puerta a primitivas peligrosas, como lectura y escritura arbitrarias en memoria dentro del heap de JavaScript. En este caso, el análisis técnico apunta al compilador Maglev y a optimizaciones asociadas a Array.prototype.sort, donde ciertas decisiones de inlining y especialización pueden dejar al motor en un estado inconsistente. Ese desajuste acaba traduciéndose en un comportamiento explotable, con el que un atacante puede construir una cadena de explotación fiable.
Google ha corregido el problema en la rama estable de escritorio con las versiones 152.0.7977.82 y 152.0.7977.83 para Windows y macOS, y 152.0.7977.82 para Linux. La actualización no solo tapa este agujero: también incluye correcciones para un total de 12 vulnerabilidades, lo que refuerza el carácter de parche recomendado cuanto antes.
La compañía mantiene su política de limitar los detalles de algunos fallos hasta que una mayoría de usuarios se actualiza, con el objetivo de frenar la explotación adicional. El investigador Salvatore Gulizia, conocido como Serotav, reportó el fallo el 4 de agosto de 2026 y recibió una recompensa de 1.000 dólares. El vector CVSS publicado marca 8.8, con interacción del usuario requerida, algo coherente con un ataque que necesita que la víctima cargue contenido web preparado.
Para los usuarios, la mitigación práctica es sencilla: actualizar Chrome y, sobre todo, reiniciar el navegador para que la versión parcheada quede realmente en ejecución. En entornos corporativos conviene acelerar la gestión de parches, comprobar el inventario de versiones desplegadas y priorizar equipos con mayor exposición. También deben estar atentos los navegadores basados en Chromium, como Microsoft Edge, Brave, Opera o Vivaldi, que necesitan integrar la corrección en sus propias actualizaciones cuando sus fabricantes las publiquen.
Más información
- The Hacker News – Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day : https://thehackernews.com/2026/09/google-releases-chrome-update-to-patch.html
- Chrome Releases (Google) – Stable Channel Update for Desktop (Thursday, September 3, 2026) : https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html
- OpenCVE – CVE-2026-85046 – V8 Type Confusion Allows Remote Code Execution in Google Chrome : https://opencve.alliance.unm.edu/cve/CVE-2026-85046
- Serotav Writeups – When Sorting Leads To Confusion : https://serotav.github.io/Writeups/v8/when-sorting-leads-to-confusion/
La entrada Google corrige un día cero de V8 en Chrome que se explota de forma activa se publicó primero en Una Al Día.
