Google parcha el séptimo zero-day de Chrome explotado en lo que va de 2026

La CVE-2026-87491 es una escritura fuera de límites en el motor V8. Permite ejecución de código dentro del sandbox y ya se explota en ataques reales.

Google liberó una actualización de emergencia para Chrome que corrige la CVE-2026-87491, el séptimo día cero explotado activamente que el navegador parcha en lo que va del año.

La falla

Se trata de una escritura fuera de límites en V8, el motor de JavaScript y WebAssembly del navegador. La condición permite ejecutar código arbitrario dentro del entorno aislado del navegador y provocar corrupción del montículo de memoria, con exposición de datos o caída del proceso como consecuencias posibles.

La reportó Jihyeon Jeong, investigadora en prácticas del laboratorio Compsec de la Universidad Nacional de Seúl.

Versiones corregidas

Google mantiene restringido el acceso a los detalles técnicos del fallo hasta que la mayoría de los usuarios haya actualizado, práctica habitual cuando la explotación está en curso.

El patrón del año

Siete días cero explotados en poco más de ocho meses marca un ritmo sostenido. El motor V8 concentra buena parte de esos casos, por una razón estructural: procesa código no confiable de cada sitio que el usuario visita, y su optimización agresiva en tiempo de ejecución abre superficie para errores de memoria.

Qué significa para las operaciones de TI

El punto operativo pasa por el reinicio. Chrome descarga la actualización en segundo plano y la aplica al cerrar y reabrir el navegador. El usuario que mantiene la sesión abierta durante semanas queda expuesto con el parche descargado y sin aplicar.

La contramedida es forzar el reinicio del navegador por política de grupo en lugar de confiar en el hábito del usuario. En Chrome Enterprise existe la directiva que reinicia el navegador tras un plazo definido desde la descarga de la actualización.

Para el usuario individual, la verificación toma segundos: abrir el menú de ayuda, entrar a la información de Chrome y comprobar que la versión coincide con las listadas arriba.

Fuentes