CVE-2026-87464 en Chrome 153: versiones corregidas y cómo verificar la actualización de WebGL

Respuesta corta: para la CVE-2026-87464 no basta con ver “Chrome 153”. El umbral publicado para la corrección es 153.0.8010.36. En la versión estable del 8 de septiembre de 2026, Google distribuyó 153.0.8010.36 para Linux y 153.0.8010.36/.37 para Windows y macOS; en Android, la versión publicada fue 153.0.8010.36, y Google indica que contiene las mismas correcciones de seguridad que las versiones de escritorio correspondientes, salvo que se señale lo contrario.

¿Qué versiones de Chrome corrigen la CVE-2026-87464?

La vulnerabilidad aparece en el boletín de Chrome 153 como un fallo crítico de tipo use after free en WebGL. El registro de la vulnerabilidad define como afectadas las versiones anteriores a 153.0.8010.36. En la práctica, para los canales cubiertos por el anuncio de seguridad, usa la siguiente tabla como referencia mínima.

El detalle importante es el cuarto bloque del número de versión. Chrome 153 tuvo compilaciones Early Stable antes del lanzamiento general, incluida la 153.0.8010.27/.28 para Windows el 3 de septiembre. Por eso, tener la versión principal 153 no demuestra que la corrección esté instalada; hay que comprobar el número completo.

Cómo comprobar la versión instalada en un ordenador

1. Abre Chrome.
2. Abre el menú de tres puntos y entra en Ayuda > Información de Google Chrome.
3. Lee el número de versión completo que aparece debajo de “Google Chrome”. Esa página también busca actualizaciones.
4. Si hay una actualización pendiente, instálala y selecciona Reiniciar. Una actualización disponible no queda aplicada por completo hasta que el navegador se reinicia.
5. Compara el número con el umbral 153.0.8010.36. Si es 153.0.8010.36, 153.0.8010.37 o una versión posterior, la corrección está incluida en la rama publicada por Google.

En Linux, Google indica que Chrome debe actualizarse mediante el gestor de paquetes. En equipos administrados por una empresa o una institución educativa, las políticas de despliegue pueden retrasar una compilación; por eso, la versión que realmente muestra el dispositivo es más útil que asumir que la actualización automática ya terminó.

Cómo comprobarlo en Android

En Android, abre Chrome y ve a Más > Configuración > Acerca de Chrome para consultar la versión instalada. Para actualizar, usa Play Store en Gestionar apps y dispositivo y busca Chrome entre las actualizaciones disponibles. La versión 153.0.8010.36 se anunció el 8 de septiembre y debía llegar a Google Play durante los días siguientes.

Si Play Store todavía muestra una compilación anterior, es posible que el despliegue aún no haya llegado al dispositivo. De nuevo, no uses solo “Chrome 153” como criterio: confirma los cuatro bloques del número antes de considerar corregida la CVE.

¿WebGL tiene una actualización separada?

Para un usuario común, no existe un “parche de WebGL” separado que se instale fuera de Chrome. WebGL es una capacidad del navegador y la CVE-2026-87464 se corrigió dentro de una compilación de Chrome. Por tanto, la verificación práctica consiste en confirmar el número de versión del navegador y reiniciar Chrome después de actualizar, no en buscar una versión independiente de WebGL.

Desactivar WebGL tampoco sustituye de forma permanente a la actualización. La prioridad es recibir la compilación corregida. Los cambios de configuración pueden romper gráficos 3D y aplicaciones web y no reemplazan el parche oficial.

Qué significa “crítica” — y qué no significa

En las directrices de severidad de Chromium, Critical/S0 se reserva para problemas capaces de romper límites de seguridad de gran impacto, como permitir lectura o escritura arbitraria de recursos con los privilegios del usuario en escenarios compatibles con el fallo. Para la CVE-2026-87464, la nota pública confirma un use after free en WebGL y clasifica la vulnerabilidad como crítica.

Esto no significa automáticamente que la CVE-2026-87464 esté siendo explotada activamente en internet. En el mismo boletín, Google afirmó de forma explícita que existe un exploit “in the wild” para la CVE-2026-87491, pero no hizo esa afirmación sobre la CVE-2026-87464. La diferencia importa: la severidad describe el impacto potencial y las condiciones de seguridad; la explotación activa es una información distinta.

La palabra “crítica” tampoco demuestra que cualquier página WebGL pueda explotar el fallo, que todos los dispositivos tengan exactamente la misma vía de explotación o que los detalles técnicos completos ya sean públicos. Google indica que puede mantener restringidos los enlaces y detalles de los bugs hasta que la mayoría de los usuarios se haya actualizado.

¿Y en iPhone, iPad y Chromebook?

Los números anteriores son los que Google publicó para los canales de escritorio y Android asociados con este paquete de seguridad. Chrome para iOS y ChromeOS tienen ciclos y números de compilación propios. Por eso, no compares mecánicamente una versión de iPhone/iPad o Chromebook con el umbral 153.0.8010.36 de la tabla. En Chromebook, la ayuda de Google indica que hay que actualizar el sistema operativo; en iOS, usa la actualización distribuida por App Store y las notas específicas de ese canal.

Lista rápida de comprobación

• Comprueba el número de versión completo, no solo “Chrome 153”.
• En Windows, macOS y Linux, busca 153.0.8010.36 o posterior.
• En Android, confirma 153.0.8010.36 o posterior.
• Reinicia Chrome después de actualizar para aplicar la nueva compilación.
• No busques un actualizador separado para WebGL.
• No trates “crítica” como sinónimo de “explotada activamente”.

Fuentes

• Chrome Releases — Stable Channel Update for Desktop, 8 de septiembre de 2026
• Chrome Releases — Chrome for Android Update, 8 de septiembre de 2026
• Chrome Releases — Early Stable Update for Desktop, 3 de septiembre de 2026
• Ayuda de Google Chrome — Actualizar Google Chrome
• Chromium — Severity Guidelines for Security Issues