Chrome 157 llega con 213 correcciones; siete de ellas son críticas.

Una página web ordinaria puede volver a ser una vía para escapar del entorno de protección del navegador. El 3 de noviembre Google lanzó Chrome 157 y solucionó 213 problemas de seguridad, incluidos siete críticos. Algunos errores permiten la ejecución de código arbitrario fuera de la «sandbox», que separa el contenido de los sitios del resto del sistema y limita las capacidades del código malicioso.

Las fallas en los componentes gráficos Dawn y ANGLE son especialmente peligrosas. El desbordamiento de búfer en Dawn recibió el identificador CVE-2026-121156, y la corrupción de memoria en ANGLE se señaló como CVE-2026-121229. Ambas vulnerabilidades tienen una puntuación de 9,6 en CVSS 3.1 y pueden permitir la ejecución de código fuera de la sandbox mediante una página especialmente diseñada.

Otro problema peligroso, CVE-2026-121035, se encontró en el mecanismo de prerenderizado de páginas Prerender. Un error del tipo use-after-free ocurre cuando el programa accede a memoria que ya fue liberada. La vulnerabilidad tiene una puntuación de 9,6 en CVSS 3.1 y permite la ejecución de código fuera del aislamiento del navegador al procesar una página HTML maliciosa.

No las siete fallas críticas tienen la misma puntuación CVSS. Seis de ellas reciben una puntuación de 9,6 según la versión 3.1. La séptima, CVE-2026-121203 en el componente Geometry, obtuvo 8,8 en CVSS 3.1, aunque Google también la clasifica como crítica. Ese tipo de error permite ejecutar código dentro de la sandbox, pero por sí solo no confirma que se pueda escapar de ella.

Además de los siete defectos críticos, Google corrigió 77 vulnerabilidades de alto riesgo. Los problemas afectan el procesamiento de archivos PDF, el motor JavaScript V8, los subsistemas gráficos, las extensiones y la gestión de permisos. Entre las causas se encuentran errores de acceso a memoria liberada, confusiones de tipos de datos y verificación insuficiente de privilegios, que pueden conducir a la violación de las restricciones de protección.

También se empleó inteligencia artificial en la búsqueda de vulnerabilidades. Xinyan Ge de Anthropic descubrió un error crítico en Prerender con la ayuda de Claude. En el boletín también figura Codex Security de OpenAI, con cuyo uso se hallaron varios problemas de alto riesgo en PDFium, Media y V8. Google indicó la participación de tales herramientas, pero no afirmó que la búsqueda se realizara enteramente sin intervención humana.

La versión anterior importante Chrome 156 del 20 de octubre incluía 353 correcciones, incluidas seis críticas. El nuevo paquete es menor en número total de errores, aunque tiene un problema crítico más. Los desarrolladores siguen restringiendo el acceso a detalles técnicos de algunas detecciones hasta que la mayoría de los usuarios actualice a las versiones corregidas del navegador.

Chrome 157 se distribuye para Windows y macOS en las compilaciones 157.0.8103.38 y 157.0.8103.39, y para Linux está destinada la versión 157.0.8103.38. Google también confirmó la salida de la versión 157.0.8103.38 para Android con las correcciones correspondientes. El despliegue llevará varios días o semanas. La compañía no ha informado de casos de explotación de las fallas mencionadas en ataques reales.