Varias vulnerabilidades críticas y altas en ChromeOS

Fecha de publicación: 

Resumen ejecutivo

Google ha reportado múltiples vulnerabilidades críticas y altas que afectan a Google Chrome, destacando CVE-2026-12440 y CVE-2026-6920, ambas con un CVSS de 9.6. La primera permite a un atacante remoto evadir la sandbox mediante una página HTML manipulada, comprometiendo la seguridad del sistema, mientras que la segunda permite una fuga de sandbox a través de una lectura fuera de límites en la GPU, también requiriendo que la víctima visite una página maliciosa. Otras vulnerabilidades significativas incluyen CVE-2026-13033, CVE-2026-9995 y CVE-2026-12441, todas con un CVSS de 8.8, que permiten la ejecución de código arbitrario en entornos restringidos. Se requiere una actualización urgente a las versiones corregidas para mitigar estos riesgos, ya que no se han identificado soluciones temporales efectivas. La explotación activa de estas vulnerabilidades es posible, lo que eleva la urgencia de la respuesta.

Recursos afectados

  • ChromeOS (LTS-144 version 144.0.7559.256, Platform Version: 16503.88.0)

Análisis técnico

  • CVE-2026-12440: Una vulnerabilidad de uso después de liberar en DigitalCredentials de Google Chrome en Windows antes de la versión 149.0.7827.155 permite a un atacante remoto realizar una posible evasión de la sandbox a través de una página HTML manipulada. El impacto podría ser crítico, ya que podría comprometer la seguridad del sistema. Para explotar esta vulnerabilidad, el atacante necesita que la víctima visite una página web maliciosa.
    • CWE-416
    • CVSS: 9.6 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-6920: Una lectura fuera de límites en la GPU de Google Chrome en Android antes de la versión 147.0.7727.117 permite a un atacante remoto, que ha comprometido el proceso del renderizador, realizar potencialmente una fuga de sandbox a través de una página HTML manipulada. El impacto puede ser grave, ya que compromete la seguridad del entorno restringido. Para explotar esta vulnerabilidad, el atacante necesita controlar el proceso de renderizado.
    • CWE-125
    • CVSS: 9.6 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-9995: Una vulnerabilidad de uso después de liberar en WebXR en Google Chrome anterior a 148.0.7778.216 permite que un atacante remoto ejecute código arbitrario dentro de un entorno aislado mediante una página HTML manipulada. El impacto potencial es alto, ya que se podría comprometer la seguridad del navegador. Para explotar esta vulnerabilidad, el atacante necesita que la víctima visite una página web específica.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-10007: Una vulnerabilidad de uso después de liberar en SVG en Google Chrome antes de la versión 148.0.7778.216 permite que un atacante remoto ejecute código arbitrario dentro de un entorno restringido a través de una página HTML manipulada. El impacto potencial es alto, ya que podría comprometer la seguridad del sistema afectado. Para explotar esta vulnerabilidad, el atacante necesita que la víctima visite una página web especialmente diseñada.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-13033: Una vulnerabilidad de lectura y escritura fuera de límites en Blink>InterestGroups de Google Chrome antes de 149.0.7827.197 permite a un atacante remoto ejecutar código arbitrario a través de una página HTML manipulada. El impacto potencial es crítico, ya que podría comprometer la seguridad del sistema afectado. Para aprovechar esta vulnerabilidad, el atacante solo necesita que la víctima visite la página maliciosa.
    • CWE-125
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-7339: Una vulnerabilidad de desbordamiento de búfer en la pila en WebRTC de Google Chrome, versiones anteriores a 147.0.7727.138, permite a un atacante remoto potencialmente explotar la corrupción de memoria a través de una página HTML diseñada. El impacto podría incluir la ejecución de código malicioso. Para explotar esta vulnerabilidad, el atacante necesita que la víctima acceda a la página HTML perjudicial.
    • CWE-122
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-12441: Una vulnerabilidad de uso después de liberar memoria en la entrada de archivos en Google Chrome para Linux antes de la versión 149.0.7827.155 permite a un atacante remoto potencialmente explotar la corrupción de la memoria heap mediante una página HTML maliciosa. El impacto es crítico, ya que podría comprometer la seguridad del sistema. Para aprovechar esta vulnerabilidad, el atacante debe inducir a la víctima a interactuar con el contenido manipulado.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-9961: Una vulnerabilidad de uso después de liberar en SurfaceCapture de Google Chrome antes de la versión 148.0.7778.216 permite que un atacante remoto exploite la corrupción de memoria mediante una página HTML maliciosa. Esto puede resultar en compromisos de seguridad significativos en los sistemas afectados. No se requieren condiciones especiales para llevar a cabo la explotación.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-7348: Una vulnerabilidad de uso posterior a la liberación en Codecs de Google Chrome antes de 147.0.7727.138 permite a un atacante remoto ejecutar código arbitrario en un entorno seguro a través de una página HTML manipulada. El impacto potencial es alto, ya que puede comprometer la seguridad del navegador. Para explotar esta vulnerabilidad, el atacante solo necesita inducir a la víctima a visitar la página afectada.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-12439: Una vulnerabilidad de uso después de liberar en Digital Credentials de Google Chrome antes de la versión 149.0.7827.155 permite a un atacante remoto explotar potencialmente la corrupción de la memoria heap mediante una página HTML manipulada. Esto podría permitir la ejecución de código malicioso. Para explotar esta vulnerabilidad, el atacante solo necesita que la víctima abra la página manipulada en su navegador.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-8524: Una vulnerabilidad de escritura fuera de límites en WebAudio en Google Chrome antes de la versión 148.0.7778.168 permite a un atacante remoto ejecutar código arbitrario dentro de un entorno restringido mediante una página HTML manipulada. El impacto potencial es alto, ya que podría comprometer la seguridad de los usuarios. Para explotar esta vulnerabilidad, el atacante necesita que la víctima visite la página afectada.
    • CWE-787
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-6360: Una vulnerabilidad de uso después de liberar en FileSystem de Google Chrome antes de la versión 147.0.7727.101 permite a un atacante remoto potencialmente provocar corrupción de objetos a través de una página HTML manipulada. El impacto podría incluir la ejecución de código malicioso en el navegador de la víctima. Para explotar esta vulnerabilidad, el atacante necesita que la víctima cargue la página web específica.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-7922: Una vulnerabilidad de uso después de liberar en ServiceWorker de Google Chrome antes de la versión 148.0.7778.96 permite que un atacante remoto pueda potencialmente escapar de la sandbox mediante una página HTML manipulada. Esto puede llevar a la ejecución de código malicioso en el sistema afectado. Para explotarla, el atacante necesita que la víctima visite una página web diseñada específicamente para este propósito.
    • CWE-416
    • CVSS: 8.3 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-9993: Una vulnerabilidad de uso después de liberar en las vistas de Google Chrome anterior a 148.0.7778.216 permite a un atacante remoto que haya comprometido el proceso de renderizado realizar potencialmente una evasión de la sandbox mediante un archivo PDF especialmente diseñado. El impacto puede ser alto, ya que podría permitir al atacante ejecutar código malicioso fuera del entorno restringido. La explotación requiere que el atacante tenga control sobre el proceso de renderizado.
    • CWE-416
    • CVSS: 8.3 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-9970: Una vulnerabilidad de uso después de liberar en WebGL en Google Chrome antes de 148.0.7778.216 permite a un atacante remoto, que ha comprometido el proceso de renderizado, realizar potencialmente una fuga de sandbox a través de una página HTML manipulada. El impacto es alto, ya que puede comprometer la seguridad del navegador. Se requiere que el atacante tenga acceso al proceso de renderizado para llevar a cabo la explotación.
    • CWE-416
    • CVSS: 8.3 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-12008: Una vulnerabilidad de "uso después de liberar" en DigitalCredentials de Google Chrome anterior a 149.0.7827.115 permite a un atacante remoto que ha comprometido el proceso de renderizado realizar potencialmente una fuga de sandbox mediante una página HTML diseñada. Este fallo crítico podría comprometer la seguridad del sistema. Para explotarlo, el atacante debe tener acceso al proceso de renderizado.
    • CWE-416
    • CVSS: 8.3 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-10905: Una vulnerabilidad de uso después de liberar en Network en Google Chrome antes de la versión 149.0.7827.53 permite que un atacante remoto que haya comprometido el proceso de renderizado realice potencialmente una escapatoria de la sandbox a través de una página HTML diseñada. El impacto es alto, ya que podría permitir acceso no autorizado al sistema del usuario. La explotación requiere que el atacante logre comprometer el proceso de renderizado.
    • CWE-416
    • CVSS: 8.3 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-12034: La vulnerabilidad en el Linux Toolkit Theming de Google Chrome en Linux anterior a la versión 149.0.7827.115 permite a un atacante remoto, que ha obtenido acceso al proceso de renderizado, realizar una posible evasión de la sandbox mediante un archivo malicioso. Esto podría comprometer la seguridad del sistema afectado. La explotación de esta vulnerabilidad requiere que el atacante haya comprometido previamente el proceso de renderizado.
    • CWE-20
    • CVSS: 8.3 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-10003: La vulnerabilidad de uso después de liberar en Views de Google Chrome antes de la versión 148.0.7778.216 permite a un atacante remoto ejecutar código arbitrario al persuadir a un usuario para que realice gestos específicos en la interfaz de usuario. El impacto potencial es elevado, ya que esto podría comprometer la seguridad del sistema del usuario. La explotación requiere que el usuario interactúe con una página HTML manipulada.
    • CWE-416
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-8557: Una vulnerabilidad de uso después de liberar en la accesibilidad de Google Chrome antes de la versión 148.0.7778.168 permite a un atacante remoto que haya comprometido el proceso de renderizado realizar una escalada de privilegios a través de una página HTML manipulada. El impacto potencial es alto, ya que podría permitir el control aumentado del sistema. Para explotar esta vulnerabilidad, se requiere la presentación de un contenido HTML específicamente diseñado.
    • CWE-416
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-9933: Se ha identificado una vulnerabilidad de uso después de liberación en la entrada de Google Chrome anterior a la versión 148.0.7778.216. Un atacante remoto podría aprovechar esta falla persuadiendo a un usuario para que realice gestos específicos en la interfaz, lo que podría resultar en una corrupción del heap mediante una página HTML diseñada. Se requiere que el usuario interactúe con la interfaz para que la explotación tenga éxito.
    • CWE-416
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-10969: Una vulnerabilidad en las extensiones de Google Chrome anteriores a la versión 149.0.7827.53 permite a un atacante remoto que haya comprometido el proceso de renderizado realizar una escalada de privilegios a través de una página HTML manipulada. Esto podría permitir el control no autorizado sobre el sistema afectado. Para explotarla, el atacante necesita que el usuario cargue la página maliciosa.
    • CWE-20
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-9903: Una vulnerabilidad de validación insuficiente en Site Isolation de Google Chrome anterior a 148.0.7778.216 permite a un atacante remoto que haya comprometido el proceso de renderizado eludir la protección de aislamiento de sitios mediante una página MHTML manipulada. El impacto potencial es alto, ya que podría permitir el acceso no autorizado a datos de diferentes sitios. Se requiere que el atacante comprometa previamente el proceso de renderizado para explotar esta vulnerabilidad.
    • CWE-20
    • CVSS: 5.0 (media)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L
    • Explotación: No detectada
  • CVE-2026-8559: Una vulnerabilidad de desbordamiento de enteros en la internacionalización de Google Chrome en Windows antes de la versión 148.0.7778.168 permite a un atacante remoto realizar una escritura de memoria fuera de los límites mediante una página HTML manipulada. Esto puede conducir a la ejecución de código malicioso. Para explotar esta vulnerabilidad, el atacante necesita que la víctima visite la página web diseñada específicamente para este fin.
    • CWE-472
    • CVSS: 4.3 (media)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
    • Explotación: No detectada

Mitigación / Solución

El fabricante recomienda actualizar a la versión LTS-144 (144.0.7559.256) de ChromeOS para mitigar los problemas de seguridad identificados. Esta actualización incluye varias correcciones de seguridad críticas y de alto impacto, como las relacionadas con la validación insuficiente de entradas no confiables y fallos de uso después de la liberación en varios componentes como WebGL, ServiceWorker y Digital Credentials. Se recomienda revisar las notas de la versión para detalles específicos sobre las correcciones incluidas.

Referencias adicionales

    Compartir