XBOW publicó el 13 de octubre de 2026 que sus investigadores, con ayuda del modelo GPT-5.6 Sol de OpenAI, habían encadenado tres fallos de Chrome y demostrado que podían llegar desde una pestaña hasta la ejecución de código en Windows. La prueba, realizada en una versión firmada de Chrome Beta, abrió la Calculadora de Windows; XBOW la presentó como una demostración controlada. La explicación técnica de XBOW detalla las tres etapas.
Tres fallos, tres etapas
Según XBOW, la cadena enlazó fallos en V8, Blink y Crashpad, componentes de Chrome. El primero afectaba a Maglev, el compilador de V8, y permitió acceder a una zona de memoria del motor JavaScript llamada pointer-compression cage. El segundo estaba relacionado con la decodificación de imágenes animadas WebP en Blink y posibilitó escribir fuera de esa zona. El tercero afectaba al manejo de memoria de procesos de Crashpad en Windows y permitió ejecutar código en el gestor de informes de fallos, que no está dentro del entorno aislado del navegador. XBOW Labs describe la secuencia.
Así, el resultado no dependía de un único fallo: las etapas enlazaban el acceso inicial desde JavaScript con la salida del entorno aislado del proceso y, finalmente, con la ejecución de código en el sistema anfitrión. La prueba de concepto abrió la Calculadora en Chrome Beta firmado.
La IA ayudó; los investigadores dirigieron el trabajo
XBOW sitúa el desarrollo de la cadena premiada entre el 2 y el 7 de agosto de 2026, en seis días. Según la empresa, GPT-5.6 Sol y versiones anteriores buscaron en el código fuente de Chrome, probaron hipótesis, construyeron pruebas de concepto y desarrollaron etapas del exploit. Los investigadores eligieron los objetivos, aportaron contexto, revisaron y redirigieron los resultados y decidieron qué componentes combinar. XBOW explica el reparto de tareas y la investigación.
El primer intento incluía un fallo que Google ya conocía, según XBOW. El equipo sustituyó esa etapa por otra alternativa; la modularidad de la cadena permitió continuar con la investigación premiada. XBOW calcula que el trabajo supuso unos 40.000 dólares en cargos de API y afirma que Google le concedió un premio de 250.000 dólares por la cadena.
Qué recomienda XBOW a quienes usan Chrome
XBOW afirma que Google corrigió los tres fallos de la cadena y recomienda instalar las actualizaciones de Chrome y reiniciar el navegador para que surtan efecto. La recomendación y el estado de las correcciones, según XBOW.
