Google arregla 353 fallos de Chrome de una vez y deja de confiar en la mitad de Interne

Google lanzó Chrome 156 con uno de los paquetes de correcciones de seguridad más grandes y al mismo tiempo cambió las reglas para visitar sitios no seguros. La nueva versión del navegador corrige 353 vulnerabilidades de una vez, incluidas seis críticas. Paralelamente, Chrome comenzó a advertir por defecto a los usuarios antes de conectarse a sitios mediante el protocolo HTTP, que permite interceptar y falsificar los datos transmitidos.

La actualización del 20 de octubre corrigió errores en decenas de componentes del navegador. La versión 156.0.8078.47 está destinada a Linux, y las compilaciones 156.0.8078.47 y 156.0.8078.48 se distribuyen para Windows y macOS. Google publica las correcciones de forma gradual durante varios días y semanas. La magnitud de la actualización superó el paquete de septiembre, que cerró 108 vulnerabilidades.

Entre los problemas críticos destaca CVE-2026-113303 en el componente WebRTC, responsable de la transmisión de audio y video en tiempo real. La corrupción de memoria permite a un atacante potencialmente ejecutar código arbitrario dentro del entorno aislado del navegador mediante una página HTML especialmente diseñada. Google asignó a este error un nivel de gravedad crítico, y la puntuación CVSS 3.1 es de 8,8.

Otra vulnerabilidad crítica, CVE-2026-113279, afecta al subsistema Accessibility, que proporciona accesibilidad a la interfaz. El error también permite la ejecución de código dentro de la sandbox al visitar una página maliciosa. La puntuación CVSS 3.1 es de 8,8. Otros defectos críticos afectan a Skia, CSS, Paint y Accessibility. Google no reportó casos confirmados de explotación de los problemas mencionados.

Un cambio separado afecta la protección de las conexiones de red. El equipo de Chrome el 21 de octubre anunció la activación de advertencias ante conexiones HTTP inseguras para todos los usuarios por defecto. Antes, el navegador en la práctica marcaba estas páginas como no seguras después de abrirlas. Ahora Chrome solicita permiso antes de establecer la conexión, lo que permite evitar la transmisión de datos sin cifrado.

La advertencia aparece al visitar por primera vez un sitio HTTP. Tras conceder el permiso, el navegador no vuelve a mostrar la advertencia mientras el usuario siga visitando el recurso regularmente. Si el sitio no se visita durante al menos dos semanas, la advertencia puede aparecer de nuevo. Para direcciones IP locales y nombres internos como intranet se prevén excepciones. Estos recursos a menudo no admiten certificados HTTPS públicos y se usan para acceder a routers.

Google espera que las nuevas advertencias no se conviertan en una molestia constante. Los primeros resultados de la implementación mostraron que casi 95% de los usuarios de Chrome en escritorio no se encuentran con advertencias HTTP en una semana, y menos del 1% ven tres o más. El paso a la confirmación obligatoria fue posible gracias a la amplia adopción de HTTPS. Al mismo tiempo, el navegador no bloquea HTTP de forma definitiva, dejando la opción de continuar la conexión manualmente.