Google parchea en Chrome dos fallas de puntaje crítico en permisos y escritorio remoto para Mac, sin ataques conocidos

Google publicó el 6 de octubre una actualización del canal estable de Chrome para computadoras que corrige 247 fallas de seguridad. Dos de ellas muestran una contradicción llamativa. La Base de Datos Nacional de Vulnerabilidades de Estados Unidos, conocida como NVD, les asignó 9,6 y 9,1 sobre 10 en la escala CVSS, el sistema común de puntuación de vulnerabilidades, es decir, el rango crítico. El propio equipo de Chromium, en cambio, las clasificó como de severidad baja.

Las dos fallas quedan corregidas desde la versión 155.0.8059.39 de Chrome. La primera, CVE-2026-106237, afecta al navegador en todas las plataformas. La segunda, CVE-2026-106195, solo a Chrome en Mac, en el componente que hace funcionar el Escritorio remoto de Chrome.

Qué es la falla: una fuga en los permisos y un control de acceso que se puede saltar

CVE-2026-106237 es una fuga de información en el módulo de permisos de Chrome. Según la descripción de NVD, permite que un atacante a distancia eluda el aislamiento de sitios, la protección que mantiene separadas las páginas de sitios distintos, con una página web manipulada. Para eso, la víctima tiene que abrir esa página. El vector del puntaje indica que el ataque llega por la red, no exige credenciales y requiere una acción del usuario. Lo que eleva la cifra es que el impacto puede salir del componente vulnerable y llegar en grado alto a la confidencialidad y la integridad de los datos.

CVE-2026-106195 es un error de autorización en Chromoting, el código detrás del Escritorio remoto de Chrome, según la empresa Security Arsenal. NVD indica que un atacante a distancia puede saltarse restricciones de acceso del sistema enviando tráfico de red manipulado. Acá la víctima no tiene que hacer nada. De acuerdo con Security Arsenal, eso explica buena parte del 9,1.

La distancia entre baja y crítica tiene una explicación posible. Security Arsenal señala que la calificación baja de Chromium a veces refleja condiciones que limitan el ataque, como que el Escritorio remoto tenga que estar configurado de una forma específica, mientras que el puntaje de NVD refleja el peor caso teórico.

A quién afecta: Chrome en cualquier computadora, y algo más en los Mac

CVE-2026-106237 alcanza a cualquier Chrome anterior a la versión 155.0.8059.39, según NVD. CVE-2026-106195 alcanza solo a Chrome en Mac anterior a esa misma versión. Security Arsenal explica que la exposición es mayor en los Mac que tienen instalado y activado el Escritorio remoto de Chrome para recibir conexiones. También aclara que el componente viene con el navegador, así que conviene actualizar todos los equipos aunque nadie use esa función.

El número exacto de la versión nueva varía según la fuente. SecurityWeek informa que llega como 155.0.8059.39 o 155.0.8059.40 en Windows y macOS, y como 155.0.8059.39 en Linux. Malwarebytes publicó para Windows y Mac una numeración de la serie 154 que no coincide con la de NVD. La referencia segura es el corte que fija NVD: desde 155.0.8059.39 en adelante, las dos fallas están corregidas.

Estado de explotación: Google no reporta ataques

Las dos fallas están sin explotación conocida. Según SecurityWeek, Google no menciona en su aviso que alguna de las 247 vulnerabilidades corregidas esté siendo aprovechada en ataques reales.

El resto del paquete no es menor. SecurityWeek cuenta cuatro fallas que Google sí calificó como críticas, todas del tipo use-after-free, un error en el manejo de la memoria, en los componentes Chromecast, Browser, Navigation y Track. Tres las reportó el investigador Xinyang Ge, que usó inteligencia artificial para encontrar dos de ellas. Malwarebytes destaca que una, CVE-2026-106197, permitiría ejecutar código fuera del sandboxEntorno aislado en el que se ejecuta un programa separado del resto del sistema, para que sus acciones no afecten a otros archivos, programas o redes sin permiso. del navegador mediante una página manipulada. La actualización suma además 53 fallas de severidad alta.

Qué hacer: actualizar y reiniciar el navegador

Chrome se actualiza solo, pero Malwarebytes advierte que puede quedarse atrás si el navegador nunca se cierra o si algo, como una extensión, frena la actualización. Para forzarla, hay que abrir la sección Acerca de Google Chrome desde la configuración o el menú de Ayuda, y pulsar Reiniciar cuando aparezca la versión nueva. En esa misma pantalla se ve el número instalado, que tiene que ser igual o mayor que 155.0.8059.39.

En las empresas, Security Arsenal recomienda revisar en qué Mac está instalado el Escritorio remoto de Chrome y si su uso está aprobado, porque los usuarios suelen instalarlo por comodidad sin que el área de sistemas lo autorice. Quien tenga el navegador abierto desde hace días sigue con la versión vieja hasta que lo reinicie.

Ficha técnica

• CVE-2026-106237: CVSS 3.1 de 9,6 según NVD, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L; CWE-200, exposición de información sensible a un actor no autorizado; severidad según Chromium: baja; todas las plataformas.
• CVE-2026-106195: CVSS 3.1 de 9,1 según NVD, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N; CWE-863, autorización incorrecta; severidad según Chromium: baja; solo Chrome en Mac, componente Chromoting.
• Versión corregida: 155.0.8059.39 o posterior, según NVD.
• Aviso del fabricante: Stable Channel Update for Desktop, 6 de octubre de 2026.