CVE-2026-85046: el zero-day de Chrome que ya están explotando y cómo protegerte

La seguridad en línea se vuelve cada vez más crucial, y recientemente, Google ha confirmado una nueva vulnerabilidad crítica en Chrome, conocida como CVE-2026-85046, que ya está siendo explotada en el mundo real.

Esta grave brecha de seguridad en el motor V8 de Chrome, clasificada con una gravedad alta (CVSS 8.8), se une la larga lista de vulnerabilidades y cves de 2026, siendo de las más urgentes a corregir.

Qué es CVE-2026-85046 y por qué es urgente

Google ha confirmado la existencia de un zero-day de alta gravedad (clasificado como CVSS 8.8) en el motor de JavaScript V8 de Chrome.

Este fallo, identificado como CVE-2026-85046, está siendo activamente explotado en el mundo real, convirtiéndolo en la sexta vulnerabilidad de este tipo parcheada por Google en 2026.

La Agencia de Seguridad Cibernética e Infraestructura (CISA) ha incluido esta vulnerabilidad en su catálogo de Eventos de Seguridad Críticos conocidos (KEV) con una fecha límite para la corrección el 18 de septiembre de 2026.

En 2026, Google parcheó la sexta zero-day activa en Chrome, conocida como CVE-2026-85046. Esta vulnerabilidad, de alta gravedad con una puntuación CVSS de 8.8, afecta al motor V8 de Chrome y ya se encuentra siendo explotada en la red.

Esta situación refuerza la importancia de mantener siempre actualizados los navegadores y aplicaciones para prevenir ataques cibernéticos.

La Agencia de Seguridad Cibernética e Infranet (CISA) ha incorporado la vulnerabilidad CVE-2026-85046 en su catálogo de Exploits Vulnerabilidad Emergente (KEV) con una fecha límite de corrección fijada para el 18 de septiembre de 2026.

Esta medida refuerza la urgencia de que las organizaciones apliquen las actualizaciones necesarias para mitigar esta amenaza crítica.

Cómo funciona el fallo de type confusion en V8

El fallo de type confusion en V8, identificado como CVE-2026-85046, es un problema de seguridad que permite a los atacantes ejecutar código malicioso. A continuación, se explicará cómo este fallo opera y sus implicaciones.

Qué es un fallo de “type confusion” y por qué corrompe la memoria del navegador

Un fallo de “type confusion” en JavaScript, particularmente en el motor de JavaScript V8 utilizado por Google Chrome, ocurre cuando el intérprete trata a una variable o objeto como del tipo incorrecto. Este error puede provocar que el código trate de acceder a una memoria que no debería, lo que puede corromper la memoria del navegador.

Este tipo de fallo es especialmente peligroso porque puede permitir a los atacantes ejecutar código malicioso con los mismos privilegios que el navegador. Un investigador como Salvatore Gulizia ha destacado la importancia de comprender y mitigar estos fallos para mejorar la seguridad de los sistemas web.

El origen

El origen del fallo de type confusion en V8 se encuentra en cómo JavaScript Engine gestiona los arrays y mapas internos.

Cuando un array PACKED_ELEMENTS recibe incorrectamente el mapa PACKED_SMI_ELEMENTS, se desencadena una situación crítica que permite la lectura y escritura arbitrarias en el heap de JavaScript.

Este problema fue identificado por Salvatore Gulizia, quien destacó la importancia de entender la relación entre los tipos de datos y cómo el mal manejo de estas estructuras internas puede dar lugar a vulnerabilidades de seguridad graves.

La confusión de tipos en este caso específico permite a un atacante manipular los datos en memoria de una manera que rompe la seguridad del entorno de ejecución de JavaScript.

¿Quién lo descubrió?

El investigador Salvatore Gulizia descubrió un grave fallo de seguridad en V8, el motor de JavaScript de Google Chrome, conocido como type confusion.

Este hallazgo, identificado por el identificador CVE-2026-85046, permitió a Gulizia ganar una recompensa de 1.000 dólares a través del programa de recompensas de seguridad de Google.

El fallo permitía a los atacantes manipular la forma en que JavaScript interpreta los tipos de datos, lo que podría resultar en la ejecución de código malicioso.

Qué puede hacer un atacante y qué NO

Esta sección explora las capacidades y limitaciones de un atacante en el contexto de explotaciones web, destacando qué acciones son posibles y cuáles no, sin entrar en detalles técnicos específicos.

Permite ejecución de código arbitrario mediante una página HTML manipulada que la víctima visita

Un atacante puede manipular una página HTML para ejecutar código arbitrario en el navegador de la víctima.

Este código se ejecuta dentro del sandbox del navegador, limitando así el impacto del ataque a los recursos del navegador y no permitiendo un control directo sobre el sistema operativo de la víctima, a menos que se encadene con otro fallo.

Es importante destacar que Google no ha proporcionado detalles específicos sobre las vulnerabilidades ni sobre las víctimas para evitar su explotación por parte de otros atacantes.

El código queda confinado al sandbox

El código malicioso ejecutado dentro de un navegador queda confinado en un entorno conocido como sandbox.

Esto significa que el código no puede tomar el control directo del sistema operativo del usuario a menos que se aproveche de otro fallo o vulnerabilidad. Esta limitación es crucial para prevenir que las amenazas digitales causen daños más graves fuera del contexto del navegador.

Por lo tanto, aunque un atacante pueda utilizar una página HTML manipulada para ejecutar código arbitrario, esta actividad está restringida dentro del sandbox del navegador.

Esto implica que el código no tiene permiso ni capacidad para acceder a otros programas, datos del sistema o funciones del equipo sin la intervención de otros fallos de seguridad adicionales.

Google no ha publicado detalles

Google ha decidido no revelar detalles específicos sobre el ataque ni los nombres de las víctimas para prevenir más ataques. Esta decisión evita proporcionar información que pueda ser utilizada por otros atacantes para explotar vulnerabilidades similares.

La no publicación de detalles técnicos es una estrategia común en la industria de la seguridad informática para proteger a otros usuarios y reducir el riesgo de que el ataque se convierta en un problema generalizado.

A qué versiones afecta y qué navegadores

Esta sección proporciona información sobre qué versiones y navegadores están afectados por la actualización, incluyendo las correcciones aplicadas en Chrome y otros basados en Chromium como Edge, Brave, Opera y Vivaldi.

Las versiones corregidas de la actualización se refieren a la versión 152.0.7977.82 y 152.0.7977.83 del navegador, con especificaciones diferentes para sistemas operativos Windows y macOS.

En concreto, para Windows y macOS se han implementado mejoras y soluciones en ambas versiones 82 y 83. En el caso de Linux, la versión corregida es 152.0.7977.82.

Estas versiones corregidas se aplican a todo Chrome anterior a la versión mencionada y, al estar basado en Chromium, también afecta a navegadores como Edge, Brave, Opera y Vivaldi.

Este problema afecta a todas las versiones de Google Chrome anteriores a la 152.0.7977.82, lo que incluye tanto Windows como macOS.

En Linux, la versión afectada es exactamente la misma. Debido a que estos navegadores están basados en Chromium, también se ven perjudicados Edge, Brave, Opera, Vivaldi y otros similares.

Este problema afecta a todas las versiones de Chrome anteriores a la 152.0.7977.82 en Windows y macOS, y la 152.0.7977.82 en Linux.

Debido a que estos navegadores están basados en Chromium, también se extiende a otros navegadores como Edge, Brave, Opera, Vivaldi y cualquier otro que utilice el mismo núcleo.

Cómo actualizar Chrome paso a paso

En esta sección, aprenderás cómo actualizar Google Chrome a su última versión de forma sencilla y rápida, paso a paso, para mantener tu navegador seguro y actualizado.

Para actualizar Google Chrome a la versión más reciente, accede al menú de tres puntos ubicado en la esquina superior derecha de la ventana del navegador.

Haz clic en Ayuda y luego selecciona Información de Google Chrome. Esto descargará automáticamente la actualización más reciente si está disponible.

Reiniciar Chrome es un paso crucial después de instalar una actualización. Esto asegura que todos los cambios se apliquen correctamente y que el navegador funcione con la nueva versión sin problemas. Olvidar este paso puede resultar en un navegador que no está completamente actualizado.

Para verificar la versión de Chrome, accede a la opción “Acerca de Google Chrome” en el menú de configuración del navegador. Si la versión es 152.0.7977.82 o posterior, no es necesario realizar una actualización.

Sin embargo, si tu navegador es una versión anterior, instala la última versión desde el sitio web oficial de Google Chrome para mantener la seguridad y las características más recientes.

Además, no olvides actualizar otros navegadores basados en Chromium, como Microsoft Edge, para asegurar que también estén protegidos y optimizados.