El fallo afecta al motor V8 y forma parte de una actualización que soluciona doce vulnerabilidades en las versiones de escritorio del navegador.
📌 En resumen
- CVE-2026-85046 es una vulnerabilidad de alta gravedad localizada en V8.
- Google ha confirmado que existe un exploit utilizado en ataques reales.
- Chrome 152.0.7977.82/.83 para Windows y macOS y 152.0.7977.82 para Linux corrigen el fallo.
- Los usuarios deben actualizar y reiniciar completamente el navegador.
Google ha publicado una actualización de seguridad para Chrome que corrige una nueva vulnerabilidad zero-day explotada activamente. El fallo, identificado como CVE-2026-85046, afecta a V8, el motor utilizado por el navegador para ejecutar código JavaScript y WebAssembly.
La solución está incluida en Chrome 152.0.7977.82/.83 para Windows y macOS y en la versión 152.0.7977.82 para Linux. Google está distribuyendo la actualización gradualmente, por lo que puede tardar varios días o semanas en aparecer automáticamente en todos los dispositivos.
En su boletín oficial, Google confirma que conoce la existencia de un exploit para CVE-2026-85046 utilizado en ataques. La empresa no ha informado de quién está aprovechando el fallo, cuántas víctimas se han visto afectadas ni cuáles son los objetivos de las campañas detectadas.
CVE-2026-85046 es un fallo de confusión de tipos en V8
Google clasifica CVE-2026-85046 como una vulnerabilidad de alta gravedad provocada por una confusión de tipos en V8. El problema fue comunicado el 4 de agosto de 2026 por el investigador Salvatore Gulizia, conocido en Internet como Serotav, que recibió una recompensa de 1.000 dólares.
Una confusión de tipos aparece cuando un programa interpreta un objeto de memoria como si perteneciera a una clase diferente. Esta situación puede provocar lecturas o escrituras incorrectas, corrupción de memoria y, bajo determinadas condiciones, ejecución de código controlado por un atacante.
Al encontrarse en V8, el fallo podría activarse al procesar contenido web malicioso. Sin embargo, Google mantiene restringidos los detalles técnicos del error y de su explotación hasta que una mayoría de los usuarios haya instalado la actualización.
Por ahora no se ha confirmado públicamente la cadena exacta utilizada en los ataques. Una explotación de V8 puede permitir ejecutar código dentro del proceso de renderizado aislado de Chrome, pero CVE-2026-85046 por sí sola no implica necesariamente el control completo del sistema operativo. Para escapar del entorno aislado del navegador, el atacante podría necesitar combinarla con otra vulnerabilidad.
Chrome 152 corrige otras once vulnerabilidades
La actualización incorpora un total de doce correcciones de seguridad. Además del zero-day de V8, Google ha solucionado otras nueve vulnerabilidades de alta gravedad y dos clasificadas con gravedad media.
Entre los errores más relevantes aparecen problemas de uso después de la liberación, confusión de tipos, exposición inadecuada de recursos y accesos fuera de los límites permitidos por la memoria. Los componentes afectados incluyen:
- CrashReporting.
- Network.
- Compositing.
- WebGL.
- CacheStorage.
- DevTools.
- Skia.
- V8.
La nueva versión también corrige una condición de carrera de alta gravedad en V8. Este tipo de problema puede producir resultados inesperados cuando varios procesos intentan acceder o modificar un recurso compartido sin la sincronización adecuada.
Google mantiene ocultos temporalmente los enlaces y detalles de varios errores. Esta práctica pretende evitar que otros atacantes desarrollen exploits mientras todavía existe un número elevado de instalaciones sin actualizar.
El sexto zero-day de Chrome corregido en 2026
CVE-2026-85046 es la sexta vulnerabilidad explotada activamente que Google ha corregido en Chrome desde principios de 2026. Las cinco anteriores fueron CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 y CVE-2026-11645.
Estos fallos afectaron a componentes como V8, Skia, CSS y Dawn, la implementación de WebGPU utilizada por Chromium. Aunque sus características eran diferentes, todos habían comenzado a explotarse antes de que la corrección estuviera disponible de forma general, el criterio que permite considerarlos vulnerabilidades zero-day.
La explotación continuada de errores en motores de navegador resulta especialmente relevante porque una página web maliciosa o comprometida puede utilizarse como vía de entrada. En algunos escenarios, basta con conseguir que la víctima abra un enlace preparado, aunque el impacto final depende de la vulnerabilidad y de las protecciones adicionales del sistema.
Cómo actualizar Google Chrome y comprobar la versión
Los usuarios de Windows, macOS y Linux pueden buscar la actualización manualmente siguiendo estos pasos:
- Abrir Google Chrome.
- Pulsar el menú de tres puntos situado en la esquina superior derecha.
- Entrar en Ayuda y seleccionar Información de Google Chrome.
- Esperar mientras el navegador busca e instala la actualización disponible.
- Pulsar Reiniciar para cerrar y volver a abrir Chrome.
También es posible acceder directamente escribiendo chrome://settings/help en la barra de direcciones. Para estar protegido frente a CVE-2026-85046, la versión instalada debe ser como mínimo 152.0.7977.82 en Linux, 152.0.7977.82/.83 en Windows y macOS.
No basta con descargar la actualización: Chrome debe reiniciarse para sustituir los procesos que continúan ejecutando la versión vulnerable. Quienes mantengan muchas pestañas abiertas pueden utilizar la función de reinicio del navegador, que normalmente restaura la sesión.
Qué ocurre con Edge, Brave, Opera y Vivaldi
El fallo afecta a V8, un componente del proyecto Chromium. Por este motivo, otros navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, también pueden necesitar sus propias actualizaciones.
Cada fabricante integra y distribuye las correcciones según su calendario. Los usuarios deben revisar la página de información de su navegador y comprobar que tienen instalada la versión más reciente, especialmente porque Google ha confirmado que la vulnerabilidad ya se está utilizando en ataques.
