El equipo de Chrome ha promovido la versión 154 al canal estable para Windows, Mac y Linux, un despliegue que se completará durante los próximos días y semanas. La actualización incorpora 108 correcciones de seguridad, varias de ellas críticas, además de ajustes recogidos en el registro oficial del navegador. Google detalla también las recompensas económicas entregadas a los investigadores que reportaron cada vulnerabilidad antes de su publicación.
La nueva build del navegador llega con los números 154.0.8037.57 para Linux y 154.0.8037.57/.58 para Windows y Mac. El reparto no es simultáneo para todos los usuarios: Google lo va soltando de forma escalonada, así que conviene comprobar en el menú de ayuda si el parche ya ha llegado a vuestro equipo antes de darlo por hecho.
Vulnerabilidades críticas en ANGLE, GPU y WebGL
El apartado de seguridad se lleva el protagonismo de este lanzamiento, con varios fallos críticos capaces de permitir la ejecución de código arbitrario. El CVE-2026-95350, un desbordamiento de búfer en ANGLE, se ha saldado con una recompensa de 5.000 dólares para los investigadores de STAR Labs SG Pte. Ltd. Billy Jheng Bing Jhong, Muhammad Alifa Ramdhan y Pan Zhenpeng, que lo reportaron el 24 de agosto. El CVE-2026-95357, una escritura fuera de los límites en la GPU, sumó 2.500 dólares para un investigador anónimo que lo comunicó el 1 de julio.
La lista de críticos no acaba ahí. Google ha corregido también el CVE-2026-95339 (use after free en ServiceWorker, reportado por Andrew Boni el 18 de agosto), el CVE-2026-95313 (use after free en Fullscreen, hallado por WinD39 – Huynh Dinh Vu el 26 de agosto) y el CVE-2026-95349 (desbordamiento de búfer en WebGL, detectado internamente por Google el 27 de agosto). Los detalles técnicos de varios de estos fallos siguen restringidos hasta que la mayoría de los usuarios actualice sus equipos.
Fallos de uso después de liberar componentes clave
Buena parte de los parches de esta versión corresponden a errores use after free, un tipo de fallo de memoria muy explotado en ataques reales porque permite manipular datos ya liberados. Entre los de severidad alta figuran el CVE-2026-95348 en Bluetooth, el CVE-2026-95335 en HID (reportado por WinD39 – Huynh Dinh Vu el 1 de septiembre) y el CVE-2026-95299 en GPU, detectado por Google el 15 de septiembre.
También caen en esta categoría el CVE-2026-95351 en Views y el CVE-2026-95310 en AdFilter, ambos reportados por Xinyang Ge el 16 de septiembre. Este tipo de vulnerabilidades suele afectar a componentes que gestionan recursos compartidos entre procesos, de modo que mantener el navegador actualizado sigue siendo la vía más directa para reducir el riesgo si navegáis por páginas de confianza limitada o usáis extensiones con acceso a memoria del sistema.
El motor V8 y las DevTools también reciben parches propios
El motor JavaScript V8 y las DevTools han recibido atención en este ciclo. Se han solucionado el CVE-2026-95280, una condición de carrera en V8 detectada por Google el 12 de septiembre, y dos hallazgos del mismo día firmados por OpenAI Codex Security (amyb): el CVE-2026-95304, una escritura fuera de los límites, y el CVE-2026-95306, una confusión de tipos, ambos también en V8. Las condiciones de carrera y las confusiones de tipos en el motor de ejecución de JavaScript son especialmente delicadas porque pueden derivar en la ejecución de código no autorizado dentro de la propia pestaña del navegador.
Las herramientas para desarrolladores suman sus propias correcciones, entre ellas una codificación de salida incorrecta (CVE-2026-95274) y un fallo de tipo use after free en la propia interfaz de DevTools (CVE-2026-95373), los dos detectados por Google el 26 de agosto. Si trabajáis a diario con el inspector de código o depuráis aplicaciones web desde Chrome, conviene que actualicéis sin demora, ya que estos componentes se ejecutan con privilegios elevados dentro del navegador y un fallo ahí puede afectar a vuestros entornos de prueba.
Cómo recibir el nuevo Chrome actualizado
El programa de recompensas de Google ha reconocido en este ciclo el trabajo de perfiles como los de STAR Labs SG Pte. Ltd., OpenAI Codex Security, Xinyang Ge, David Sievers (@loknop) o Andrew Boni, con pagos que van de los 2.500 a los 5.000 dólares según la gravedad del fallo. Otros hallazgos, marcados como TBD en el listado oficial, aún no tienen recompensa asignada porque su evaluación sigue en curso.
La compañía mantiene además restricciones en el acceso a los detalles de ciertos errores mientras no se haya actualizado la mayoría de los usuarios, y prolonga esa reserva cuando el fallo reside en una biblioteca de terceros que otros proyectos también utilizan y todavía no han parcheado. Para comprobar si Chrome 154 ya está instalado, abrid el menú de ayuda del navegador y seleccionad «Acerca de Google Chrome»: si la actualización no se ha aplicado aún, el propio navegador la descargará en ese momento.