**Google soluciona la cuarta vulnerabilidad zero-day en Chrome explotada en 2024**

—

### 1. Introducción

La seguridad de los navegadores web continúa en el punto de mira de los equipos de ciberseguridad, y Google Chrome no es la excepción. En lo que va de 2024, Google ha parcheado ya la cuarta vulnerabilidad zero-day explotada activamente en su navegador, evidenciando la creciente sofisticación y persistencia de los actores de amenazas en su búsqueda por comprometer uno de los principales vectores de acceso a sistemas empresariales y personales. Este artículo analiza en profundidad el último incidente, sus implicaciones técnicas y estratégicas para los profesionales del sector.

—

### 2. Contexto del Incidente o Vulnerabilidad

El 13 de junio de 2024, Google confirmó en su blog de actualizaciones de seguridad la publicación de un parche crítico para una vulnerabilidad zero-day identificada como CVE-2024-5274. Esta brecha de seguridad ha sido detectada en la versión estable de Chrome para Windows, macOS y Linux, y, según la compañía, estaba siendo explotada activamente en la naturaleza antes de la disponibilidad pública del parche.

Este incidente se suma a otros tres zero-days ya solucionados por Google en lo que va de año, lo que pone de manifiesto una tendencia preocupante: los navegadores web, especialmente Chrome, siguen siendo un objetivo prioritario para campañas de explotación dirigidas, tanto por grupos APT como por actores de crimen organizado.

—

### 3. Detalles Técnicos

**Identificador de vulnerabilidad:** CVE-2024-5274
**Tipo:** Confusión de tipos («Type Confusion»)
**Componente afectado:** V8 JavaScript Engine
**Versiones afectadas:** Chrome anteriores a 125.0.6422.113 (Windows/Mac) y 125.0.6422.112 (Linux)
**Vector de ataque:** Remoto, a través de la ejecución de código JavaScript malicioso en páginas web manipuladas
**TTP MITRE ATT&CK:** T1190 (Exploitation of Public-Facing Application), T1059.007 (JavaScript)
**Indicadores de compromiso (IoC):** URLs de phishing, archivos HTML con cargas maliciosas, actividad inusual en procesos de Chrome

La vulnerabilidad reside en el motor V8, encargado de la ejecución de JavaScript en Chrome. La confusión de tipos permite a los atacantes ejecutar código arbitrario en el contexto del navegador, eludiendo las sandbox tradicionales. Específicamente, un atacante podría lograr la ejecución remota de código (RCE) mediante la manipulación de objetos JavaScript, abriendo la puerta a la descarga de malware adicional o al robo de credenciales.

Los exploits observados hasta la fecha han empleado técnicas de evasión de sandbox y evasión de mitigaciones DEP/ASLR, utilizando frameworks como Metasploit para la prueba de concepto y Cobalt Strike para despliegue de payloads secundarios.

—

### 4. Impacto y Riesgos

La explotación de esta vulnerabilidad permite la ejecución remota de código en los sistemas víctimas. En entornos corporativos, el riesgo se multiplica si Chrome se utiliza con privilegios elevados o como navegador predeterminado para aplicaciones críticas. Según las estimaciones de StatCounter, Chrome ostenta en 2024 una cuota de mercado superior al 64% a nivel global, lo que multiplica exponencialmente el alcance potencial.

Las campañas detectadas han tenido un enfoque selectivo, apuntando a usuarios de alto valor, como empleados de grandes empresas, periodistas o administradores de sistemas. La explotación exitosa puede desembocar en robo de credenciales, movimientos laterales, exfiltración de información sensible o incluso ransomware, con pérdidas económicas que pueden superar los 500.000 euros en caso de interrupción operativa y sanciones (GDPR, NIS2).

—

### 5. Medidas de Mitigación y Recomendaciones

Google recomienda actualizar Chrome inmediatamente a las versiones 125.0.6422.113/112 o superiores. Es crítico que las empresas implementen políticas de actualización automática y monitoricen el cumplimiento en entornos gestionados mediante GPOs o soluciones MDM.

Otras medidas:

– Desplegar reglas de detección específicas en EDR y SIEM para identificar procesos anómalos de Chrome.
– Deshabilitar temporalmente la ejecución de JavaScript desde fuentes no confiables mediante políticas.
– Revisar y restringir la instalación de extensiones de terceros y monitorizar los logs de acceso a aplicaciones web.
– Segmentar el uso de navegadores en sistemas críticos y restringir el acceso a Internet donde sea posible.

—

### 6. Opinión de Expertos

Andrés García, analista senior de amenazas en S21sec, subraya: “La velocidad con la que los atacantes identifican y explotan zero-days en navegadores es alarmante. El ecosistema de exploits y brokers de vulnerabilidades nunca ha estado tan activo, y el hecho de que Chrome lidere la cuota de mercado lo convierte en un blanco preferente”. Por su parte, fuentes de INCIBE recuerdan que “la aplicación estricta de parches y la concienciación de los usuarios finales siguen siendo las barreras más efectivas frente a este tipo de amenazas”.

—

### 7. Implicaciones para Empresas y Usuarios

Para los responsables de seguridad, este incidente refuerza la necesidad de acelerar los procesos de gestión de vulnerabilidades. Los CISOs deben revisar sus procedimientos de hardening y despliegue de parches, así como reforzar la monitorización de amenazas asociadas a navegadores. Para los usuarios, la actualización constante y la precaución frente a enlaces sospechosos o archivos descargados desde la web resultan esenciales.

En cumplimiento con la legislación europea (GDPR, NIS2), las organizaciones deben documentar y demostrar la aplicación de medidas proactivas para proteger los datos personales y los activos críticos frente a vulnerabilidades explotadas activamente.

—

### 8. Conclusiones

La rápida sucesión de vulnerabilidades zero-day en Chrome durante 2024 exige una vigilancia constante y una respuesta ágil por parte de los equipos de ciberseguridad. La explotación activa de CVE-2024-5274 es un recordatorio de la importancia de la actualización inmediata, el refuerzo del perímetro de aplicaciones web y la educación continua de los usuarios. Solo una estrategia integral permitirá minimizar la superficie de ataque y reducir la probabilidad de incidentes de alto impacto.

(Fuente: www.bleepingcomputer.com)