Google Chrome, el navegador más usado del mundo, se enfrenta a una vulnerabilidad crítica de ejecución remota de código (RCE) en su motor de JavaScript V8. Investigadores de seguridad publicaron los detalles técnicos completos y el código del exploit, lo que aumenta el riesgo de ataques activos si los usuarios no actualizan de inmediato.
El fallo, descubierto por el investigador Seunghyun Lee (0x10n) —ganador del concurso TyphoonPWN 2025—, afecta a las versiones de Chrome M135 y superiores, y puede permitir que un atacante ejecute código arbitrario en el equipo de la víctima solo con visitar una página web maliciosa.
¿Qué provoca esta vulnerabilidad?
El fallo está identificado como un error de “type canonicalization” en el componente WebAssembly del motor V8. En términos sencillos, se trata de un problema de validación de tipos que hace que Chrome no distinga correctamente entre referencias nulas y no nulas (ref t0 y ref null t0).
Este descuido permite que un atacante cree dos grupos de tipos recursivos que colisionan bajo el mismo valor de hash (MurmurHash64A), lo que desencadena una confusión de nulabilidad en las referencias indexadas. Esa confusión rompe la seguridad de tipos de Wasm (WebAssembly) y permite manipular la memoria de manera controlada.
En otras palabras: el navegador pierde el control sobre qué datos son seguros y qué referencias están protegidas, abriendo la puerta a la ejecución de código malicioso.
Una cadena de explotación compleja, pero devastadora
La vulnerabilidad no se limita al fallo de nulabilidad. Los investigadores encontraron además una bypass del sandbox de V8 que aprovecha un error introducido en la versión M137 de Chrome.
Este segundo problema está relacionado con la integración de JavaScript Promise (JSPI), donde los atacantes pueden manipular los estados de ejecución entre las pilas de JavaScript y WebAssembly.
A través de esta técnica, es posible alterar el orden normal de ejecución y forzar el navegador a ejecutar valores controlados por el atacante, lo que da acceso al control completo de la pila (stack).
Una vez alcanzado este punto, el exploit puede construir una cadena ROP (Return Oriented Programming) que invoca funciones de sistema, como VirtualProtect, para marcar la memoria del shellcode como ejecutable. Con ello, el atacante logra ejecutar cualquier instrucción en el equipo víctima.
Títulos similares: Ciberdelincuentes Prefieren Google Chrome
Cómo funciona el exploit paso a paso
Los investigadores publicaron un proof-of-concept (PoC) con un archivo HTML y un script en JavaScript que usa wasm-module-builder.js. Este código genera tipos y funciones Wasm especialmente diseñados para explotar la vulnerabilidad.
El proceso de ataque sigue esta secuencia:
- Enumeración de tipos: se crean dos grupos de tipos recursivos (t2null y t2nonnull) que solo difieren en su nulabilidad.
- Ataque de colisión (“birthday attack”): se realiza un ataque probabilístico para forzar una colisión de hash entre estos tipos bajo el mismo MurmurHash64A.
- Confusión de tipos: se convierte un ref null t1 en ref t1, lo que concede acceso de lectura/escritura fuera de los límites (out-of-bounds) en un ArrayBuffer gigante.
- Desvío de la pila: se abusa del error en JSPI para saltar marcos de pila inactivos, ejecutando código en contextos incorrectos.
- Construcción de la ROP chain: se inyectan direcciones de gadgets (pop rax; jmp rax, VirtualProtect, etc.) para preparar la memoria del shellcode.
- Ejecución final: se lanza el proceso calc.exe en Windows como demostración del control total sobre el sistema.
El exploit fue probado con éxito en Chrome M137 antes de que Google publicara el parche correctivo.
Explotación de vulnerabilidad RCE en Chrome (Fuente: Noticias de ciberseguridad)
Qué ha hecho Google para corregir el fallo
Tras la divulgación responsable y la publicación del exploit, Google lanzó un parche de emergencia que ya está disponible en la versión Chrome M137.0.7151.57 (o superior).
El parche corrige la verificación de nulabilidad y restaura los controles SBX_CHECK en el manejo de promesas JSPI, garantizando que la seguridad de tipos en el motor V8 vuelva a ser sólida.
Además, Google reforzó las pruebas internas del sandbox de V8 para prevenir futuras regresiones similares.
Los usuarios que utilicen Chrome —en Windows, macOS o Linux— deben actualizar de inmediato el navegador. En la mayoría de los casos, las actualizaciones se aplican automáticamente, pero puedes verificarlo manualmente accediendo a:
Configuración → Ayuda → Información de Google Chrome → Actualizar Chrome.
Qué riesgos existen si no actualizas
El exploit publicado es totalmente funcional y de libre acceso, lo que significa que cualquier atacante podría adaptarlo rápidamente para fines maliciosos.
El riesgo principal es que un usuario solo necesite visitar una página web comprometida para que el exploit se ejecute sin interacción adicional.
Entre los posibles impactos se incluyen:
- Toma de control total del sistema.
- Instalación de malware o ransomware sin aviso.
- Robo de contraseñas y cookies del navegador.
- Acceso remoto persistente al dispositivo.
Este tipo de fallos RCE suelen ser altamente codiciados en foros de exploits y cibercrimen, ya que pueden venderse por grandes sumas en el mercado negro.
También podría interesarte: Cuidado con Anuncios de Google: Sitio Falso de Google Authenticator
Lecciones que deja este incidente
- Incluso el software más seguro necesita parches frecuentes. Chrome es un navegador con un modelo de seguridad avanzado, pero los errores de memoria en V8 siguen siendo un riesgo constante.
- La divulgación pública de exploits acelera el riesgo. Cuando los detalles técnicos se hacen públicos antes de que la mayoría de los usuarios haya actualizado, los atacantes ganan ventaja.
- Los navegadores son el nuevo vector de ataque principal. Por su uso masivo y constante conexión con la nube, son una vía perfecta para ataques sin intervención del usuario.
- La seguridad no termina en el parche. Las empresas deben implementar políticas de actualización automatizada, escaneo de vulnerabilidades y control de versiones para reducir la exposición.
Qué puedes hacer desde tu empresa
En TecnetOne, recomendamos tomar las siguientes medidas para mitigar riesgos y reforzar la seguridad en tu entorno:
- Actualiza todos los navegadores corporativos de inmediato a la última versión de Chrome.
- Implementa control de versiones en los endpoints para verificar que las actualizaciones se hayan aplicado correctamente.
- Bloquea versiones vulnerables de navegadores mediante políticas de seguridad (GPO o MDM).
- Refuerza la visibilidad de amenazas con herramientas EDR o XDR capaces de detectar exploits en memoria.
- Supervisa la actividad anómala de procesos como rundll32.exe, calc.exe o uso inesperado de VirtualProtect.
- Educa a tu equipo sobre la importancia de no ignorar actualizaciones del sistema y del navegador.
La prevención es la mejor defensa frente a exploits que aprovechan fallos de ejecución remota.
Conclusión
La publicación del código de explotación de esta vulnerabilidad en Chrome demuestra cuán rápido puede evolucionar una amenaza. Lo que comenzó como un error de validación de tipos terminó convirtiéndose en un fallo crítico de ejecución remota que otorga control total sobre el sistema.
Desde TecnetOne, te recordamos que la ciberseguridad no se trata solo de reaccionar ante incidentes, sino de construir una estrategia preventiva basada en actualizaciones, vigilancia constante y análisis de comportamiento.
Actualizar tu navegador hoy puede ser la diferencia entre navegar con seguridad o convertirte en la próxima víctima de un exploit público.