73 fallos de seguridad en tres días: Google vuelve a actualizar Chrome 156 para corregir otros 21, uno de ellos crítico en la memoria de MediaStream

• Adrián Villellas @AdrianVillellas
• Ingeniero informático, divulgador y creador de contenido tecnológico desde 2017, escribiendo para blogs y medios tanto en español como en inglés.
• • 07/11/2026 11:00
  • Actualizado: 07/11/2026 11:00

Google publicó el jueves 29 de octubre una nueva actualización de Chrome 156 para Windows, Mac y Linux que corrige 21 fallos de seguridad, uno de ellos de gravedad crítica, según la nota oficial del blog Chrome Releases. La versión que hay que tener es la 156.0.8078.79 o la .80 en Windows y Mac, y la 156.0.8078.79 en Linux.

El parche llega solo dos días después del estreno de Chrome 156 en el canal estable, que ya había cerrado otros 52 agujeros el 27 de octubre. En tres días, el navegador de Google ha recibido arreglos para 73 vulnerabilidades, y Google avisa de que el despliegue se hará «en los próximos días o semanas».

Un fallo crítico en MediaStream

El fallo más grave tiene el código CVE-2026-76024 y la nota lo describe como una corrupción de memoria en MediaStream, el componente que gestiona los flujos de audio y vídeo en el navegador, por ejemplo los de la cámara y el micrófono cuando una web los pide. Una corrupción de memoria ocurre cuando el programa escribe datos donde no debe, y en un navegador puede abrir la puerta a que una página manipulada ejecute código.

Según la lista de Google, el investigador Xinyang Ge comunicó este error el 21 de octubre, de modo que el parche llegó ocho días después del aviso. La recompensa que le corresponde figura todavía como «TBD», es decir, por determinar.

Xinyang Ge firma además otros tres fallos de gravedad alta de esta misma actualización, en la recolección de basura (el sistema que libera la memoria que ya no se usa), en el DOM y en el módulo de edición de texto. En la nota del 27 de octubre aparece en seis ocasiones como investigador de Anthropic que trabajó «asistido por Claude», el modelo de inteligencia artificial de esa empresa.

Diecinueve fallos de gravedad alta

Del resto de la lista, 19 vulnerabilidades tienen gravedad alta y una, media. Los propios equipos de Google encontraron 12 de las 21, y el resto llegaron de investigadores externos como Cristian Di Nicola, que señaló un fallo en el módulo de red, o Arni Hardarson, de Neonix Security, autor del aviso sobre Input, el componente que recibe lo que el usuario teclea o pulsa.

El componente que más se repite es FileSystem, la parte de Chrome que permite a las webs leer y guardar archivos, con cuatro fallos. Le siguen Quota, CacheStorage y Skia, el motor que dibuja gráficos y texto en pantalla, con dos cada uno. También hay un error de validación en V8, el motor que ejecuta el JavaScript de las páginas, y otro de corrupción de memoria en Dawn, la pieza que da soporte a WebGPU.

Varios de estos errores son del tipo «use after free», que se da cuando el programa sigue usando un trozo de memoria que ya había liberado. En esta actualización hay siete fallos de ese tipo repartidos entre FileSystem, Input, Frames, Quota, Blink y Skia. El año pasado, Chrome llegó a sumar siete fallos zero-day en 2025, vulnerabilidades que se aprovechaban antes de que existiera un parche.

Dos actualizaciones en tres días

La nota del 27 de octubre, con la que Chrome 156 pasó al canal estable en la versión 156.0.8078.73/.74, incluía 52 correcciones de seguridad: 4 críticas, 46 altas y 2 medias. Doce días antes, el 15 de octubre, una actualización de Chrome 155 había corregido otras 10.

En aquella lista de 52, Xinyang Ge aparece en 16 fallos y otros cuatro llevan la firma «OpenAI Codex Security», a nombre de OpenAI. Google se atribuye 20.

La versión para móviles también está en marcha. La nota de Chrome para Android del 29 de octubre anuncia Chrome 156 (156.0.8078.79) en Google Play «durante los próximos días» y precisa que incluye las mismas correcciones de seguridad que la versión de escritorio, salvo que se indique lo contrario.

Cómo comprobar la versión 156.0.8078.79

La página de ayuda de Google explica que, «por lo general, las actualizaciones se realizan en segundo plano al cerrar el navegador del ordenador y volver a abrirlo». Quien lleve días sin cerrarlo puede tener la actualización pendiente.

Para comprobarlo hay que abrir el menú de los tres puntos, arriba a la derecha, e ir a Ayuda y luego a Información de Google Chrome. Al entrar en esa pantalla, Chrome busca actualizaciones, muestra el número de versión bajo el encabezado y, si hay una nueva, ofrece el botón Reiniciar. Si ese botón no aparece, el navegador ya está al día.

En Linux la actualización se hace con el gestor de paquetes del sistema, y en los Chromebook llega con la del sistema operativo. Según la misma página, Chrome necesita Windows 10 o posterior en ordenadores con procesador Intel y macOS 13 Ventura o posterior en los Mac, de modo que los equipos más antiguos se quedan sin estos parches.

No es la primera vez que se pide actualizar el navegador con prisa. En marzo de 2025 fue Microsoft quien lanzó una alerta sobre una amenaza que afectaba a los usuarios de Chrome, y ese mismo año la Unión Europea investigaba la posición de Chrome en los móviles Android.

Los detalles técnicos siguen bajo llave

Google no explica cómo podría aprovecharse cada fallo. La nota advierte de que el acceso a los detalles y a los enlaces de los errores «puede mantenerse restringido hasta que la mayoría de los usuarios tenga instalada la corrección», y que seguirá así si el problema está en una biblioteca de terceros que otros proyectos aún no han arreglado.

Tampoco dice que ninguno de los 21 fallos se esté explotando ya en ataques reales, una advertencia que Google añade a otras notas cuando sabe que circula un exploit, es decir, un código preparado para atacar el fallo. La nota deja como «TBD» la recompensa de siete fallos, y no hay datos sobre cuántos equipos han instalado ya la versión 156.0.8078.79.

La nota se ha publicado en el blog oficial Chrome Releases el 29 de octubre de 2026, firmada por Daniel Yip, de Google Chrome.

Crédito de la imagen: Google.