¿El navegador más seguro de 2026? Chrome, Edge, Opera, Brave, Firefox y Safari en cifras – tres motores, 15 zero-days

En tu escritorio tienes los iconos de seis navegadores. Chrome, Edge, Opera, Brave, Firefox, Safari. Elección como en el supermercado. El problema es que bajo el capó solo hay tres motores – y son ellos, no el logo, los que deciden si alguien se hace con tu portátil después de hacer clic en un enlace. 💥

Este año Google ya ha corregido siete agujeros en Chrome que se estaban explotando activamente en ataques antes de que nadie los parcheara. Cada uno de ellos estaba también en Edge, Opera y Brave, porque es el mismo código. Así que la pregunta no es «¿cuál es el navegador más seguro?», sino «¿qué motor, con qué rapidez se parchea y quién lo hace?». Lo he calculado con cifras de 2025 y 2026.

Tres motores, o por qué «elegir navegador» es en gran parte una ilusión

El motor del navegador es la parte que lee el HTML, ejecuta JavaScript y dibuja la página. En cristiano: es el que recibe el código de una web que no conoces y tiene que ejecutarlo de forma que no te pase nada. Todos los exploits de navegador que conozco apuntan justo ahí.

Y aquí viene la sorpresa para los lectores no técnicos: los motores son tres. Todo lo demás es la piel, la configuración de privacidad y la barra de direcciones.

¿Qué significa esto en la práctica? Que cuando Google anuncia «existe un exploit para CVE-2026-xxxxx circulando», ese mismo agujero está en ocho de cada diez usuarios de internet. No solo en Chrome. En Edge, en Opera, en Brave, en Samsung Internet en el móvil de tu madre y en cualquier aplicación de escritorio construida sobre Electron (Slack, Teams, Discord, VS Code).

En el iPhone es todavía más curioso: «Chrome en iOS» es en realidad WebKit con el logo de Chrome, porque Apple hasta 2024 no permitía otros motores, y tras los cambios impuestos en la UE por la DMA nadie ha lanzado allí uno propio. O sea, iPhone = WebKit, punto.

Lección n.º 1: comparar «Opera con Brave» en cuanto a exploits es comparar dos pinturas sobre el mismo coche. La pregunta real es: con qué rapidez te hace llegar cada fabricante los parches de Chromium y qué añade de su cosecha.

Zero-days, o qué se ataca de verdad

Un zero-day es un agujero que los delincuentes explotan antes de que el fabricante publique el parche. Para un navegador es el peor escenario: entras en una web y alguien ejecuta código en tu ordenador. Sin pulsar «descargar», sin «ejecutar».

Google Threat Intelligence Group, en su informe anual «Look What You Made Us Patch», contó 90 zero-days explotados en 2025 (78 en 2024, un récord de 100 en 2023). Y aquí va una noticia importante: a los navegadores les tocaron solo 8, menos del 10% – tendencia a la baja por tercer año consecutivo. Los atacantes se han desplazado a los sistemas operativos (39 zero-days), a los dispositivos de perímetro y appliances (el 48% del total, récord). Por primera vez se atribuyeron más zero-days a fabricantes de spyware comercial (CSV) que a grupos de espionaje estatales.

Y ahora, cómo se ve esto en cada motor.

Chrome: 15 zero-days en 21 meses

Ocho en 2025 y siete hasta el 9 sep. de 2026. Casi todos en el mismo sitio: V8, es decir, el motor de JavaScript (type confusion, out-of-bounds, use-after-free), además de gráficos (Skia, ANGLE, Dawn/WebGPU) y dos escapes del sandbox. La mayoría los encontró el Threat Analysis Group de Google, que sigue la pista a los fabricantes de spyware. El primer zero-day de 2025 (CVE-2025-2783) lo reportó Kaspersky – se usó en la operación de espionaje «ForumTroll» contra medios y universidades rusas, y el ataque empezaba con un solo clic en un enlace de un correo.

¿Significa esto que Chrome es un colador? No. Significa que es el mayor objetivo del mundo y, a la vez, el que tiene más gente detectando esos ataques. Si Firefox tuviera el 79% del mercado, esos mismos equipos los encontrarían en SpiderMonkey. Pero para ti, como usuario de Chromium, esto significa una cosa: el ritmo de actualización tiene que ser semanal, porque los atacantes no esperan.

Safari y WebKit: pocos, pero «extremadamente sofisticados»

Apple usa una fórmula fija: «puede haber sido explotado en un ataque extremadamente sofisticado contra personas concretas». Es el código para spyware comercial tipo Pegasus o Graphite. En 2025 recibimos tres parches así en WebKit, en diciembre dos de golpe – y CVE-2025-14174 es el mismo fallo que Google había corregido en Chrome dos días antes (en la biblioteca compartida ANGLE). Marzo de 2026 trajo el exploit kit «DarkSword», descrito a la vez por iVerify, Lookout y Google TIG, y la actualización de agosto Safari 26.6.1 cerró 21 agujeros solo en WebKit.

Conclusión: el usuario de Safari aparece menos en las estadísticas, pero cuando aparece, es como objetivo de un espía estatal o mercenario. Para una empresa normal el riesgo es bajo; para un abogado, un periodista o un consejo de administración, es otra historia. Por eso Apple tiene Lockdown Mode, un modo que desactiva partes de WebKit a cambio de seguridad.

Firefox: el menos atacado no significa no atacado

SecurityWeek calculó que en la última década se explotaron en ataques alrededor de una docena de agujeros de Firefox. En marzo de 2025 Mozilla, dos días después de Google, corrigió CVE-2025-2857 – un patrón de fallo idéntico en el código IPC que en Chrome se estaba explotando en ese momento (Mozilla no confirmó ataques contra Firefox). En mayo de 2025, en Pwn2Own Berlín, dos investigadores rompieron Firefox (renderer, sin escape del sandbox) – Mozilla publicó el parche ese mismo día. En julio de 2026 aparecieron dos fallos (CVE-2026-15718/15719) con exploit público, pero sin ataques en la red.

Una cuota de mercado pequeña es aquí, paradójicamente, una ventaja: nadie invierte en un exploit para el 3% del mercado si el mismo presupuesto puede darle el 79%. La excepción es Tor Browser (construido sobre Firefox) – ahí sí aparecen exploits, porque el objetivo es concreto.

Lección n.º 2: el número de zero-days mide lo atractivo que es el objetivo y lo atentos que están los defensores, no la calidad del código. Pero que tu motor sea el objetivo número uno es un hecho con el que tienes que vivir – y del que se deriva todo el resto de este texto.

CVE: cifras que casi todo el mundo lee al revés

En los foros vuelve cada año el «ranking de los navegadores más agujereados», hecho con un método sencillo: contar CVE. Hagámoslo, y luego te enseño por qué ese método murió definitivamente en 2026.

Chrome 149 y 150 juntos corrigieron 1072 fallos de seguridad – más que las 23 versiones anteriores juntas. Desde abril de 2026 Google ha publicado más de 1400 correcciones. ¿Qué ha pasado? Google ha soltado sobre su propio código agentes de IA (Big Sleep de DeepMind y Project Zero, CodeMender), que cada día peinan cada cambio. Resultado: hasta marzo de 2026 Google recibió más reportes que en todo 2025, en abril bajó las tarifas de bug bounty por fallos sencillos, y ahora prueba dos actualizaciones de seguridad por semana, porque una semanal ya no da abasto.

Y ahora una pregunta para los fans de contar CVE: ¿se volvió Chrome en 2026 seis veces menos seguro que en 2025? Obviamente no. Se volvió seis veces más minuciosamente revisado. El número de CVE mide la intensidad de la búsqueda, no el número de agujeros. Firefox con 187 CVE no es «casi tan agujereado como Chrome» – simplemente tiene un proceso de reporte honesto y público. Y Safari con unas decenas de CVE no es tres veces mejor – Apple simplemente dice menos y más tarde.

Hay, en cambio, una cifra que no cambia desde hace años y que de verdad dice algo: alrededor del 70% de los fallos graves en Chromium son errores de seguridad de memoria (use-after-free, desbordamientos de búfer) – es decir, los clásicos despistes en C++. GTIG calculó que en 2025 el 35% de todos los zero-days explotados eran precisamente de esta categoría. Por eso los tres invierten en lo mismo: Firefox lleva años incorporando Rust, Chrome tiene MiraclePtr (convierte un use-after-free en un crash normal), V8 Sandbox y en 2026 pasó el decodificador PNG a Rust, y Apple introdujo en el iPhone 17 Memory Integrity Enforcement por hardware.

Lección n.º 3: si alguien te vende un navegador con el eslogan «tenemos menos CVE», pregunta cuánta gente busca esas CVE. El silencio en la base NVD suele significar falta de auditoría más que falta de fallos.

Con qué rapidez parchean – la única métrica que colgaría en la pared

El zero-day es problema del fabricante. Pero desde el momento en que se publica el parche, el fallo se convierte en un n-day, es decir, un agujero que ya conoce todo el mundo y que tú todavía no tienes parcheado. Chromium es open source: en cuanto la corrección llega al repositorio, cualquiera puede hacerle ingeniería inversa y escribir un exploit. Por eso el ritmo lo es todo.

Los mejores datos duros los dio Project Zero en su análisis de 2022 (reportes de 2019-2021): Chrome necesitaba de media 30 días desde el reporte hasta la publicación del parche, Firefox 38, WebKit 73. Lo más interesante estaba dentro: Chrome tenía el parche listo en el código a los ~5 días, y luego esperaba a ser publicado durante la mayor parte de esos 30 días. Google sacó conclusiones – desde agosto de 2023 (Chrome 116) las actualizaciones de seguridad salen cada semana, lo que acortó el «patch gap» de unos 15 días en otros 3,5 días. En 2026, como escribí arriba, está pilotando dos por semana.

En los pentests lo veo así: escaneo la red del cliente, saco las versiones de los navegadores de las cabeceras User-Agent y casi siempre tengo dos o tres equipos con un navegador de hace varios meses, porque «alguien no ha reiniciado desde las vacaciones». En la familia Chromium, cada uno de esos equipos lleva a bordo todos los zero-days del año. Entonces no necesito un exploit de un millón; basta con esperar a que alguien haga clic.

Lección n.º 4: en una empresa no eliges «un navegador seguro». Eliges el que sabes forzar en su versión actual mediante políticas (GPO/Intune/MDM) en todos los equipos. Para un negocio, esto se reduce a Chrome o Edge con política de actualizaciones automáticas y reinicio forzado, o bien Firefox ESR.

¿De cuántas personas es el equipo de seguridad? Nadie lo dice, pero la cartera habla

Busqué cifras actuales y lo digo con honestidad: ninguno de los tres fabricantes publica el tamaño del equipo de seguridad del navegador. Las últimas cifras públicas son antiguas (Chrome hablaba de unos 20 ingenieros en 2013, Mozilla de unas 80 personas incluidos voluntarios en 2008) y hoy no significan nada. Hay, en cambio, tres indicadores sustitutos que sí dicen algo: cuánto pagan a los investigadores, quién encuentra sus fallos y qué ha pasado con la gente.

Sobre Opera añadiré algo que siempre repito a mis clientes: sus retrasos con los parches son un problema técnico, medible en días. En cambio, que un navegador con «VPN» integrada (en la práctica, un proxy) pertenezca en dos tercios a una sociedad de Pekín es una pregunta que debería hacer el departamento de compliance, no el pentester. Opera afirma que el propietario no tiene acceso a los datos de los usuarios. Yo no tengo forma de verificarlo – y esa es toda la respuesta.

Lección n.º 5: la seguridad de un motor se compra con dinero y apertura. Google tiene lo primero en mayor cantidad, Mozilla lo segundo, Apple tiene dinero y silencio. Los fabricantes sobre Chromium no tienen motor – tienen un reloj.

Dónde se pierde de verdad el dinero: extensiones e infostealers

Ahora, una ducha de agua fría para todos los que han llegado hasta aquí para elegir «el motor más seguro». En mis encargos veo pocas veces un exploit de navegador. Lo que me encuentro constantemente es:

• Infostealers, es decir, malware que simplemente lee las contraseñas, cookies y sesiones guardadas en el navegador. Flashpoint calculó que en la primera mitad de 2025 robaron 1800 millones de credenciales de 5,8 millones de dispositivos, y en todo 2025 infectaron más de 11 millones de dispositivos. Verizon, en su informe DBIR 2025, mostró que el 54% de las víctimas de ransomware tenían antes sus dominios en logs de infostealers. Un infostealer no necesita un zero-day. Necesita que instales un «crack de Photoshop».
• Extensiones maliciosas. En julio de 2025 Koi Security encontró 18 extensiones en las tiendas de Chrome y Edge (colores, VPN, emojis, «dark mode»), instaladas 2,3 millones de veces, que recibieron en silencio una actualización maliciosa. Medio año antes, un phishing dirigido a desarrolladores de extensiones comprometió varias decenas de extensiones con unos 2,6 millones de usuarios. El motor aquí no pinta nada: la extensión tiene permisos oficiales para leer cualquier página.
• Phishing y ClickFix, es decir, una web que te pide pegar algo en la terminal. Funciona igual en Safari, Chrome y Firefox, porque ataca a la persona.

Lección n.º 6: la elección del motor decide si alguien se hace con tu ordenador sin tu ayuda. Si se hace con él con tu ayuda lo deciden las políticas: prohibir guardar contraseñas en el navegador (gestor de contraseñas), lista blanca de extensiones y un MFA que no se pueda robar desde una cookie.

Siete leyes de la seguridad de los navegadores (versión 2026)

1. No eliges navegador, eliges motor y reloj. Blink, WebKit o Gecko – y quién te trae los parches.
2. Un navegador de hace un mes es un navegador con el pack completo de zero-days del año. Actualizaciones automáticas más reinicio forzado son una obligación, no una opción.
3. El número de CVE mide la auditoría, no lo agujereado que está. 429 parches en Chrome 149 son una buena noticia.
4. Un zero-day en Chrome es un zero-day en Edge, Opera, Brave y Teams. Comprueba cuándo te lo entregó tu fabricante.
5. Si eres objetivo de spyware, usa el modo reforzado (Lockdown Mode en Safari, Enhanced Protection en Chrome, Edge con el JIT desactivado) y cuenta con que algunas webs pueden funcionar peor.
6. Las extensiones son código con permisos para todo. En la empresa: lista blanca o nada.
7. Las contraseñas en el navegador son un regalo para el infostealer. Gestor de contraseñas y MFA resistente al phishing (llaves/passkeys), porque esos no se pueden sacar en un log.

Resumen: qué elegiría yo

Como pentester, no como fan de ningún logo:

• Empresa, equipos gestionados: Chrome o Edge con políticas de actualización – el motor más investigado, los parches más rápidos, más herramientas de gestión. Firefox ESR si quieres un segundo motor en la organización.
• Privacidad y «objetivo más pequeño»: Firefox – siendo plenamente consciente de que en algunas plataformas su sandbox es menos maduro que el de Chromium y de que Mozilla tiene una fracción del presupuesto de Google. Brave, si quieres bloqueo de rastreo sobre el motor Chromium.
• Ecosistema Apple: Safari, porque en el iPhone de todos modos no tienes otro motor. Para personas de alto riesgo: Lockdown Mode.
• Qué evitar: navegadores que se retrasan con los parches de Chromium, todo lo que esté fuera de soporte y cualquier navegador en el que guardes contraseñas sin MFA.

Lo más importante: no existe un ranking del «navegador más seguro de 2026» que aguante una semana. Existe un ritmo: motor, parches, políticas, personas. Si quieres comprobar cómo es ese ritmo en tu casa – desde las versiones de navegador en los equipos hasta si las credenciales de tus empleados ya circulan por logs de infostealers – es justo el tipo de cosa que reviso en mis pruebas de seguridad. El presupuesto te lo haces tú mismo en la calculadora. ✔️

Fuentes

• StatCounter Global Stats – Browser Market Share (agosto/septiembre de 2026)
• Google Threat Intelligence Group – Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer – Google patches seventh Chrome zero-day exploited in attacks this year (sep. 2026)
• BleepingComputer – Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek – Chrome 149 Patches 429 Vulnerabilities
• Project Zero – A walk through Project Zero metrics
• Google Security Blog – An update on Chrome Security Updates (weekly)
• Chromium Projects – Memory safety
• SecurityWeek – Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs – Apple doubles maximum bug bounty to $2M
• The Hacker News – Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic – Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog – Firefox Security Response to pwn2own 2025
• SecurityWeek – Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla – Bug Bounty Hall of Fame
• ZDI – Pwn2Own Berlin 2025: Day Three Results
• ZDI – Pwn2Own Berlin 2026: Day Two Results
• Intego – 2nd Chrome zero-day patched in 5 days (retrasos de Opera)
• Cyber Security News – Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch – Chrome, Firefox, Safari – número de CVE por año (NVD)
• SecurityWeek – Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer – Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia – Opera (company) y SEC Schedule 13D/A, Opera Ltd (2026)