Chrome descarga cosas a tus espaldas: Google aclara que no es una función sino un fallo (y pide actualizar cuanto antes)

La compañía Google corrigió una vulnerabilidad en el navegador Chrome que podía, sin que el usuario lo notara, crear amenazas a la seguridad y a la privacidad. Se trata de un problema en el mecanismo de descarga de datos en segundo plano, por el cual los atacantes, teóricamente, podrían acceder a funciones del navegador fuera de los límites permitidos. Se insta a los usuarios a instalar la actualización lo antes posible.

La actualización del canal estable Chrome actualiza el navegador a las versiones 144.0.7559.109 y 144.0.7559.110 para Windows y macOS, así como 144.0.7559.109 para Linux. La vulnerabilidad corregida está registrada con el número CVE-2026-1504 y obtuvo una puntuación CVSS de 6,5. En Google indicaron que el problema está relacionado con una implementación incorrecta de la interfaz de descarga de datos en segundo plano, que permite a los sitios descargar archivos grandes incluso cuando la pestaña está cerrada o la ventana del navegador está minimizada.

La función se diseñó para la comodidad de los usuarios, por ejemplo para descargar vídeos, programas o documentos voluminosos sin necesidad de mantener la página abierta. Pero precisamente el funcionamiento en segundo plano hace que estos mecanismos sean especialmente sensibles desde la perspectiva de la seguridad. Según Google, el error en la implementación podría haber llevado a la elusión de restricciones de protección, al manejo incorrecto de permisos y al procesamiento inseguro de solicitudes en segundo plano.

La empresa no divulgó los detalles técnicos completos de la vulnerabilidad. En Google explicaron que el acceso al informe está temporalmente limitado para evitar que los atacantes analicen la corrección y lancen ataques contra navegadores que aún no se han actualizado. Este enfoque también se aplica en casos en los que la vulnerabilidad afecta a bibliotecas de terceros utilizadas en otros proyectos.

El informe sobre el problema llegó el 9 de enero de 2026 por parte del investigador en seguridad informática Luan Herrera. Por el hallazgo de la vulnerabilidad recibió una recompensa de 3000$ en el marco del programa de recompensas por errores encontrados.

Según expertos, la explotación exitosa de la vulnerabilidad podría afectar la seguridad y la privacidad de los usuarios incluso sin la instalación de software malicioso. En entornos corporativos, esto supondría riesgos adicionales de fugas de datos y de abuso de privilegios en dispositivos de trabajo.

Google recomienda encarecidamente actualizar Chrome mediante el mecanismo de actualización integrado del navegador lo antes posible. Se aconseja a las organizaciones que instalen de forma forzosa la versión más reciente en los dispositivos gestionados de los empleados para reducir los riesgos potenciales.