Chrome 157 ya se distribuye con 213 correcciones de seguridad y siete fallos críticos en la parte gráfica del navegador. Google promovió la versión al canal estable el martes 3 de noviembre y el despliegue avanza por tandas: 157.0.8103.38 y 157.0.8103.39 para Windows y Mac, y 157.0.8103.38 para Linux. Quien deje la actualización para después queda expuesto con la lista de fallos ya publicada.
La cifra impresiona por el contraste inmediato. La actualización de Chrome 155 de octubre cerró 37 fallos, siete de ellos críticos, y esa ya fue una entrega cargada. Esta vez el conteo de la nota oficial, repasado por SecurityWeek y por ChromeGeek, reparte las 213 correcciones en 7 críticas, 77 altas, 75 medias y 54 bajas. Google no menciona explotación activa de ninguno de estos fallos en su aviso, un dato que conviene leer tal cual: no hay ataques confirmados contra esta lista, y tampoco garantía de que nadie la esté probando en silencio.
El dinero da otra pista del tamaño de la entrega. La nota oficial suma US$31.000 en recompensas ya asignadas a quienes reportaron fallos de esta versión, y deja 39 recompensas por fijar. El pago mayor, US$10.000, fue para un desbordamiento de búfer en Dawn. Un desbordamiento de búfer, en palabras simples, ocurre cuando un programa escribe más datos de los que caben en el espacio reservado y termina pisando memoria vecina, justo el tipo de error que un atacante busca para ejecutar código propio.
Los siete críticos viven en gráficos y memoria
Dawn concentra dos de los siete fallos críticos. Dawn es la implementación de código abierto de WebGPU, el estándar que permite a las páginas web usar la tarjeta gráfica del equipo para juegos y aplicaciones en 3D. El primero, CVE-2026-121156, es el desbordamiento que valió US$10.000 a Zhenpeng Lin, de la firma depthfirst, reportado el 30 de septiembre. El segundo, CVE-2026-121247, también es un desbordamiento en Dawn y lo reportó la propia Google el 3 de octubre.
ANGLE carga con el tercer crítico, CVE-2026-121229, una corrupción de memoria que recibió US$1.000 de recompensa. ANGLE es la capa que traduce las instrucciones gráficas de la web a los lenguajes que entiende cada sistema operativo, así que un fallo ahí toca a Chrome en Windows, Mac, Linux y Android por igual. Los cuatro críticos restantes son del tipo use-after-free, usar memoria ya liberada: CVE-2026-121246 en WebGL, reportado por Google; CVE-2026-121035 en Prerender y CVE-2026-121203 en Geometry, ambos reportados por Xinyang Ge, de Anthropic; y CVE-2026-121126 en el núcleo del navegador, reportado por Wenbin Liu.
El resto de la lista explica por qué el total llega a 213. El tipo de fallo más repetido es la autorización incorrecta o ausente, con 51 casos, seguido por 45 de memoria ya liberada, 19 de representación engañosa de la interfaz, 13 de confusión de tipos y 13 de fuga de información. Google mantiene restringidos los detalles técnicos de cada fallo hasta que la mayoría de los usuarios tenga la versión nueva instalada, práctica habitual de la casa: publicar la receta completa antes del parche dejaría la puerta señalada con un letrero.
La IA de Anthropic aparece entre quienes cazaron fallos
Un detalle de la lista oficial llama la atención de cualquiera que siga la pelea entre laboratorios. Dos de los siete críticos los reportó Xinyang Ge, investigador de Anthropic, y la lista de Google acredita una parte de los reportes de este investigador con asistencia de Claude, el modelo de su propia empresa. SecurityWeek contó dos críticos firmados por Ge, y medios que contaron la lista completa, entre ellos BigGo, sumaron más de una docena de reportes ligados a Anthropic y a Claude, además de otros acreditados al equipo de seguridad de Codex, de OpenAI. El navegador más usado del planeta se está parchando, en parte, con fallos encontrados por los modelos de dos de sus rivales en inteligencia artificial.
Actualizar toma menos de un minuto y no exige esperar a que Chrome avise solo. Basta abrir el menú de los tres puntos, entrar a Ayuda y luego a Información de Google Chrome, o escribir chrome://settings/help en la barra de direcciones: la pantalla muestra la versión instalada y descarga la nueva al momento, con un reinicio del navegador para aplicarla. La meta es ver 157.0.8103.38 o 157.0.8103.39 en esa pantalla. En empresas y escuelas, donde las actualizaciones las controla un administrador, la misma pantalla indica si la versión quedó retenida por una política interna.
La entrega de escritorio tiene su pareja en el teléfono: la compilación de Android con la misma base 157.0.8103.38 rueda hacia Google Play, de acuerdo con ChromeGeek, en la misma semana en que el parche de noviembre de Android corrigió más de 200 vulnerabilidades del sistema. Quedan pendientes las 39 recompensas por fijar y la apertura de los detalles técnicos de cada fallo, que Google liberará cuando el despliegue esté avanzado. Si tu Chrome marca 156 o menos en la pantalla de información, el parche de los 213 fallos aún no entró en tu equipo.
Fuente: Google — Chrome Releases
