Google ha lanzado una actualización urgente para Chrome después de confirmar que un día cero en V8 ya estaba siendo explotado por atacantes. El fallo, registrado como CVE-2026-85046, afecta al motor de JavaScript y WebAssembly del navegador y permite ejecutar código dentro del sandbox con solo abrir una página HTML manipulada. Os recomendamos actualizar cuanto antes a la versión 152.0.7977.82 o superior.
Google ha publicado esta actualización con carácter urgente al detectar explotación activa de la vulnerabilidad, clasificada con severidad alta y una puntuación CVSS de 8.8. Se trata de una confusión de tipos en V8, el motor que interpreta el código JavaScript de cualquier página que visitamos. El vector de ataque es el típico de estas campañas: enlaces maliciosos, malvertising o sitios comprometidos que sirven una página preparada para desencadenar el fallo en cuanto la víctima la carga.
El error se esconde en las optimizaciones de Chrome
El origen del problema está en el compilador Maglev, la pieza de V8 encargada de optimizar el rendimiento del navegador en tiempo real, y en concreto en cómo gestiona las llamadas a Array.prototype.sort . Para acelerar la ejecución, Maglev genera una versión especializada de la función de ordenación que da por hecho que el tipo de los elementos del array no cambiará mientras dura el proceso.
Cuando esa optimización se aplica sobre una función de comparación que altera el array mientras se ejecuta la ordenación, se produce lo que en seguridad se conoce como type confusion o confusión de tipos: el motor pierde la certeza sobre el tipo real de los datos con los que está trabajando. De esa confusión pueden derivarse primitivas de lectura y escritura arbitrarias en el heap de JavaScript, la zona de memoria donde el navegador guarda los datos con los que trabaja el código de la página. Esa corrupción de memoria queda contenida dentro del sandbox de Chrome, pero suele ser el primer paso de cualquier intento de escapar de ese aislamiento y comprometer el sistema por completo.
Las versiones que corrigen el fallo en el navegador
Google ha resuelto el fallo en la rama estable de escritorio con las versiones 152.0.7977.82 y 152.0.7977.83 para Windows y macOS, y con la versión 152.0.7977.82 para Linux. El mismo parche corrige, además, un total de 12 vulnerabilidades adicionales detectadas en el navegador, lo que reafirma que conviene aplicarlo sin demora aunque no todas tengan la gravedad del día cero.
Actualizar no sirve de mucho si Chrome sigue abierto: la versión corregida solo entra en funcionamiento una vez reiniciamos el navegador por completo, algo que muchos olvidamos si dejamos ventanas o pestañas abiertas durante días. Para comprobar si ya tenéis el parche instalado, basta con abrir el menú de tres puntos, entrar en Ayuda y seleccionar Información de Google Chrome: si la versión es 152.0.7977.82 o superior, la actualización ya está aplicada. En entornos corporativos, lo lógico es revisar el inventario de versiones desplegadas y priorizar los equipos con mayor exposición, ya que la explotación activa de este fallo está confirmada y no se limita a un escenario teórico.
Edge y el resto de navegadores Chromium, en peligro
Al compartir el motor V8 con Chrome, navegadores como Microsoft Edge, Brave, Opera o Vivaldi heredan la misma vulnerabilidad hasta que sus equipos integren la corrección en sus propias versiones. Cada fabricante suele publicar su parche pocos días después del lanzamiento de Google, así que conviene vigilar sus canales de actualización en las próximas jornadas si usáis alguno de estos navegadores en lugar de Chrome.
El fallo lo reportó el investigador Salvatore Gulizia, conocido en la comunidad de seguridad como Serotav, el 4 de agosto de 2026, y Google le ha reconocido el hallazgo con una recompensa de 1.000 dólares a través de su programa de recompensas por errores. Como suele ocurrir con los días cero que ya están siendo explotados, la compañía no ha dado más detalles técnicos del exploit ni ha confirmado quién está detrás de los ataques, a la espera de que la mayoría de usuarios haya actualizado sus equipos. Mientras tanto, la recomendación pasa por mantener activadas las actualizaciones automáticas del navegador y reiniciar Chrome en cuanto el sistema lo indique, sin posponerlo para más tarde.