Si eres de los que actualizó Google Chrome la semana pasada y pensó que podía olvidarse durante un tiempo, más vale que tomes nota de esto. Google lanzó Chrome 153 de forma estable el 8 de septiembre y apenas siete días después, el 15 de septiembre, ha publicado otra versión que corrige 42 vulnerabilidades de seguridad. Tres de ellas están clasificadas por Chromium con su nivel máximo de gravedad, es decir, crítico. Las versiones corregidas son 153.0.8010.47/.48 para Windows y macOS y 153.0.8010.47 para Linux.
No son las mismas que la 153 lanzada la semana pasada, por eso, todas las anteriores a esas están afectadas por 42 fallos de seguridad. La recomendación es actualizar ya mismo. Chrome 153 salió hace solo una semana y ya necesita otro parche Esta actualización tiene miga, ya que Chrome no lanza versiones estables tan rápido. La número 153 llegó la semana pasada y hoy mismo tenemos otra.
Lo curioso es que la de la semana pasada, con código 153.0.8010.36 para Linux y 153.0.8010.36/.37 para Windows y Mac, contaba con 230 correcciones de seguridad. El número importante ahora es 153.0.8010.47 o superior, teniendo en cuenta la variante .48 disponible en Windows y macOS. Esa versión corrige 42 agujeros de seguridad. Tres de estos fallos reciben la clasificación Critical de Chromium, el nivel más alto utilizado por Google para Chrome.
Son CVE-2026-91726, CVE-2026-91721 y CVE-2026-91749. El resto se clasifican en 28 vulnerabilidades de gravedad alta, 10 medias y una baja. Eso sí, aunque se hayan marcado como críticas, no hay confirmación de que estén siendo aprovechadas por un actor malicioso en estos momentos. Uno de los fallos críticos está en WebGL CVE-2026-91726 es una lectura fuera de límites en WebGL.
Hablamos de la tecnología que permite a las páginas web utilizar gráficos acelerados por hardware directamente desde el navegador, algo habitual en visualizaciones 3D, mapas, juegos y otras aplicaciones web. Por su parte, CVE-2026-91721 afecta a un componente denominado Internals, mientras que CVE-2026-91749 está relacionado con Workers. En ambos casos, Google los describe como use-after-free. Estos son, básicamente, errores que aparecen cuando un programa continúa utilizando una zona de memoria después de que esa memoria ya haya sido liberada.
Si un atacante consigue controlar esa zona, puede desatar comportamientos inesperados y, en algunos casos, ejecución de código. En el caso de CVE-2026-91721 se trataría de una página HTML especialmente preparada que podría permitir potencialmente a un atacante remoto ejecutar código fuera del sandbox. Finalmente, CVE-2026-91749 contiene una descripción similar para Workers.