Author: Seguridad CSIRT-CV

Google ha lanzado Chrome 148 con un total de 127 correcciones de seguridad.  Incluye 3 vulnerabilidades críticas, más de 30 de alta gravedad, además de fallos medianos y bajos. 

• • Una vulnerabilidad de tipo integer overflow en Blink (CVE?2026?7896) que podría permitir ataques remotos mediante páginas HTML maliciosas. 
  • Otras dos fallas críticas de tipo use?after?free (CVE?2026?7897 y CVE?2026?7898) en componentes Mobile y Chromoting. 

• • Más de 30 vulnerabilidades relevantes, muchas relacionadas con errores de memoria (use?after?free). 
  • Afectan a múltiples componentes del navegador, como:
    • V8 (motor JavaScript), GPU, WebRTC, ANGLE
    • DOM, SVG, ServiceWorker, Media, DevTools, etc. 

También se corrigieron problemas como:

• • • • Desbordamientos de memoria
      • Lecturas/escrituras fuera de límites
      • Validación insuficiente de datos 

• • Google pagó al menos 138.000 dólares a investigadores externos. 
  • Algunas recompensas destacadas:
    • 43.000 $ por la vulnerabilidad crítica de Blink. 
    • 55.000 $ por un fallo en el motor V8. 

La nueva versión ya se distribuye como:

• • • 148.0.7778.96 (Linux)
    • 148.0.7778.96/97 (Windows y macOS)

Referencias

Solució:

• • • En cas d’utilitzar dispositius Android, s’ha de comprovar que el fabricant haja publicat un pedaç de seguretat i actualitzar-lo.
    • Pot consultar com verificar la versió d’Android d’un dispositiu i la data del pedaç de seguretat d’alguns fabricants. En el cas de seguir amb esta guia i no es puga comprovar la versió dels dispositius o la data del pedaç de seguretat, es recomana revisar la pàgina del fabricant.

Referència

• • • https://source.android.com/docs/security/bulletin/2026/2026-05-01?hl=es-419
    • https://www.incibe.es/incibe-cert/alerta-temprana/avisos/boletin-de-seguridad-de-android-mayo-de-2026

La fallada permetia que atacants externs sense privilegis executaren comandos arbitraris en el sistema amfitrió, abans fins i tot que s’iniciara l’entorn controlat de proves de seguretat.

 El problema es donava en entorns CI/CD en mode “headless”, en què la ferramenta confiava automàticament en els directoris de treball, fins i tot si contenien codi no de confiança (per exemple, pull requests de tercers).

• • @google/gemini-cli < 0.39.1
  • @google/gemini-cli < 0.40.0-preview.3
  • google-github-actions/run-gemini-cli < 0.1.22 

• • • Ara els directoris han de marcar-se explícitament com de confiança abans de carregar configuracions.
    • Recomanacions:
      • Per a entrades de confiança: definir GEMINI_TRUST_WORKSPACE: ‘true’.
      • Per a entrades no de confiança: endurir els fluxos de treball seguint la guia oficial i configurar manualment la confiança.
    • Es va reforçar, a més, el control de ferramentes en el mode –yolo, que abans permetia executar ordes sense validació, fins i tot per injecció d’indicacions (prompts).

Fallades d’execució de codi en Cursor IDE

• • Es va identificar una vulnerabilitat greu en Cursor IDE (CVE-2026-26268, CVSS 8.1) anterior a la versió 2.5. 
  • Permetia execució automàtica de codi mitjançant:
    • Repositoris Git amb hooks maliciosos
    • Instruccions ocultes processades per l’agent d’IA
    • Operacions Git executades de manera autònoma per l’agent després d’una petició aparentment innòcua de l’usuari.

Causa arrel

• • No és un error clàssic de Cursor, sinó una interacció perillosa entre agents d’IA i funcionalitats de Git que esdevé explotable quan l’agent executa ordes sense visibilitat completa del risc.

Una altra vulnerabilitat greu: “CursorJacking” (CVSS 8.2)

• • Es va descobrir un problema addicional de control d’accés:
    • Qualsevol extensió instal·lada pot accedir a una base de dades SQLite local.
    • Això permet el robatori de claus API, tokens de sessió, segrest de comptes i pèrdues financeres. 
  • Esta fallada seguix sense posar pedaços.
  • Cursor recomana, com a mitigació parcial, instal·lar únicament extensions de confiança, encara que el risc persistix. 

Conclusió

• • L’article destaca com els agents d’IA integrats en ferramentes de desenrotllament poden ampliar la superfície d’atac quan es combinen amb automatització, CI/CD i repositoris no de confiança.
  • Subratlla la importància de:
    • No confiar automàticament en entrades externes
    • Revisar acuradament els permisos i fluxos de treball en ferramentes impulsades per IA
    • Limitar l’execució automàtica d’ordes en sistemes crítics. 

Referències

• • • https://novee.security/blog/google-gemini-cli-rce-vulnerability-cvss-10-critical-security-advisory
    • https://thehackernews.com/2026/04/google-fixes-cvss-10-gemini-cli-ci-rce.html
    • https://www.securityweek.com/critical-gemini-cli-flaw-enabled-host-code-execution-supply-chain-attacks
    • https://www.theregister.com/2026/04/30/googles_fix_for_critical_gemini

Recursos Afectats

• • • Equips amb versions anteriors a:
      • Chrome 147.0.7727.137/138 (Windows/macOS)
      • Firefox 150.0.1 o versions ESR corregides
    • Sistemes Windows, macOS i Linux amb navegadors no actualitzats.
    • Entorns corporatius on el navegador siga un vector d’accés a aplicacions internes.

Recomanacions

Referències

• • • https://www.securityweek.com/chrome-147-firefox-150-security-updates-rolling-out/