¿Cómo puede un mensaje de Twitch ejecutar código en tu PC con OBS?

Un mensaje enviado al chat de Twitch puede convertirse, bajo unas condiciones muy concretas, en la puerta de entrada para ejecutar código en el ordenador de un streamer que utiliza OBS Studio. No significa que cualquier usuario de Twitch pueda tomar el control de cualquier PC con solo escribir en el chat. La cadena descubierta necesita un elemento previo decisivo: un overlay de chat vulnerable que introduzca los mensajes de los espectadores como HTML sin filtrarlos correctamente.

A partir de ahí aparece el problema serio. El investigador Dylan Iffrig-Bourfa, de Orange Cyberdefense Switzerland, consiguió encadenar ese fallo del overlay con una vulnerabilidad conocida del motor JavaScript V8 incluido en Chromium. La demostración se realizó con OBS Studio 32.2.2 y Windows 11 actualizado y terminó con ejecución de código nativo en el equipo. Sin clics del streamer, sin conceder permisos de administrador y sin activar previamente el servidor WebSocket de OBS.

El mensaje de Twitch no es peligroso por sí solo

Conviene separar el titular inquietante de lo que realmente ocurre bajo el capó. Twitch no convierte mágicamente una frase del chat en un programa ejecutable. El primer eslabón está en determinados overlays personalizados utilizados dentro de OBS.

Un overlay es, en esencia, una pequeña página web incrustada en la retransmisión. Sirve para enseñar mensajes del chat, nuevas suscripciones, donaciones, alertas, animaciones y otros elementos que hacen que un directo parezca algo más que una webcam flotando sobre un videojuego.

El problema aparece cuando uno de esos widgets recoge el texto escrito por un espectador y lo trata como código HTML en lugar de mostrarlo únicamente como texto. Si no existe una limpieza adecuada del contenido, el atacante puede introducir elementos que el navegador interpreta. Es el clásico fallo conocido como cross-site scripting o XSS, viejo conocido de la seguridad web y todavía bastante vivo, por desgracia.

En la prueba analizada, ese XSS permitía que contenido controlado desde el chat terminara ejecutando JavaScript dentro del navegador que OBS utiliza para mostrar el overlay.

Y aquí cambia la escala del problema.

OBS lleva un navegador Chromium dentro

Las Browser Sources de OBS no son simples cajas que enseñan una imagen procedente de Internet. Funcionan mediante Chromium Embedded Framework, conocido como CEF, una tecnología que permite integrar un navegador basado en Chromium dentro de otro programa.

Eso explica por qué una fuente de navegador puede mostrar desde una alerta de seguidores hasta una aplicación web relativamente sofisticada. También significa que parte de la seguridad de OBS depende de ese navegador integrado.

La versión 32.2.2 utilizaba una rama de Chromium 127, publicada originalmente en 2024. Dentro de ella estaba presente una versión de V8 afectada por CVE-2024-7971, una vulnerabilidad de confusión de tipos que Google corrigió con Chrome 128.

No era un fallo encontrado ayer en un cajón oscuro de Internet. La vulnerabilidad había sido utilizada en ataques reales y figuraba entre las vulnerabilidades explotadas conocidas por las autoridades estadounidenses.

Por sí mismo, el XSS del overlay solo permite ejecutar JavaScript dentro del navegador. Eso todavía queda lejos de controlar Windows. La combinación peligrosa surgía porque el investigador encontró un segundo ingrediente decisivo.

El sandbox que debía contener el ataque estaba desactivado

Los navegadores modernos trabajan como un edificio lleno de puertas cortafuegos. Si una página consigue comprometer el proceso encargado de representarla, existe otra barrera, el sandbox o entorno aislado, diseñada para impedir que salte alegremente al resto del sistema operativo.

En el navegador integrado de OBS, esa barrera estaba desactivada.

El investigador utilizó entonces CVE-2024-7971 para pasar de JavaScript a ejecución de código nativo dentro del proceso de Chromium. En un navegador convencional, el atacante todavía tendría que escapar del sandbox para alcanzar el sistema. En la configuración estudiada de OBS, esa segunda muralla no estaba allí.

La secuencia resulta bastante más clara vista entera: un espectador escribe un mensaje preparado para atacar un overlay mal diseñado; el overlay lo interpreta como HTML; aparece la ejecución de JavaScript; una vulnerabilidad del antiguo motor V8 permite avanzar hasta código nativo; y la ausencia del sandbox elimina una de las principales barreras que normalmente separan al navegador del ordenador.

Es una cadena. Romper cualquiera de sus eslabones cambia el resultado.

No cualquier chat de Twitch puede hackear un PC con OBS

Este matiz es probablemente el más importante de toda la historia. Una instalación limpia de OBS no queda automáticamente comprometida porque alguien escriba en Twitch.

La demostración necesita que el streamer haya cargado una fuente de navegador vulnerable capaz de insertar contenido controlado por los espectadores sin sanearlo. Si el overlay trata cada mensaje como simple texto, ese primer paso desaparece.

Tampoco se ha demostrado que todos los overlays populares de Twitch sufran el mismo problema. El hallazgo parte de un widget concreto cuyo código procesaba mal los mensajes. Convertirlo en una advertencia contra cualquier overlay existente sería cómodo para un titular, pero técnicamente falso.

La investigación sí deja una enseñanza bastante más amplia: los streamers suelen cargar en OBS páginas web de terceros con una confianza que quizá no concederían a un programa desconocido descargado de Internet. Alertas, chats, marcadores, paneles, widgets para donaciones… parecen adornos de pantalla, pero por debajo siguen siendo software web ejecutándose dentro de OBS.

Ese matiz importa especialmente para quienes utilizan overlays artesanales, proyectos pequeños alojados en servicios externos o código generado con herramientas automáticas sin una auditoría posterior. Lo vistoso puede ocupar veinte píxeles en una esquina y, aun así, arrastrar detrás un navegador completo. Una miniatura en pantalla; una superficie de ataque bastante menos diminuta.

Qué versiones de OBS están afectadas por la cadena demostrada

La prueba de concepto se realizó específicamente con OBS Studio 32.2.2 en Windows 11 actualizado. El investigador comprobó que esa versión utilizaba Chromium 127.0.6533.120 y V8 12.7.224.18, una combinación anterior a la corrección de CVE-2024-7971.

OBS recibió el aviso de seguridad el 19 de agosto de 2026 y reconoció el problema al día siguiente. El trabajo para modernizar el navegador integrado ya estaba en marcha y terminó incorporándose al desarrollo de OBS 33.

A 27 de septiembre de 2026, OBS Studio 32.2.2 continúa siendo la versión estable más reciente, publicada el 14 de agosto. OBS 33.0.0 se encuentra todavía en fase beta; su beta 4 fue publicada el 25 de septiembre.

La futura rama 33 da un salto considerable al actualizar CEF desde la generación basada en Chromium 127 hasta CEF 150, correspondiente a tecnología de septiembre de 2026. Eso elimina la vulnerabilidad concreta de V8 empleada en esta demostración. No es un retoque cosmético: supone ponerse al día después de una distancia de aproximadamente dos años entre el navegador embebido de OBS 32.2.2 y las versiones modernas de Chromium.

Hay, sin embargo, otra pieza que merece vigilancia. El código actual del componente obs-browser mantiene todavía configurado no_sandbox = true. Actualizar Chromium corta la cadena concreta demostrada por el investigador, pero recuperar además un aislamiento eficaz proporcionaría una segunda defensa frente a futuras vulnerabilidades del navegador.

Qué puede hacer un streamer que utiliza Browser Sources

La medida inmediata no consiste en abandonar Twitch ni en borrar OBS del ordenador. El punto sensible está en qué contenido web se carga dentro del programa.

Un streamer debería mirar con bastante más atención los overlays, widgets y fuentes de navegador que utiliza, especialmente aquellos que reciben directamente datos escritos por espectadores. Un chat integrado correctamente debe mostrar esos mensajes como texto o someter cualquier HTML permitido a un proceso de saneamiento serio.

También conviene eliminar fuentes antiguas que ya no se utilizan. Es bastante habitual que un perfil de OBS acumule pequeños widgets instalados meses atrás, servicios que dejaron de mantenerse o páginas cuya procedencia ya casi nadie recuerda. Un cajón digital lleno de cables viejos.

Mantener OBS actualizado sigue siendo fundamental, aunque en este caso existe una peculiaridad: la rama estable 32.2.2 todavía conserva el navegador antiguo utilizado en la demostración, mientras OBS 33 permanece como versión preliminar. Instalar una beta en un equipo utilizado para retransmisiones profesionales tiene sus propios costes de estabilidad, de modo que no debería confundirse una versión de pruebas con una actualización estable ordinaria.

Mientras llega la actualización definitiva, la defensa más importante está bastante más cerca: evitar overlays desconocidos o mal mantenidos y, para quienes desarrollan estos componentes, no insertar mensajes de usuarios directamente como HTML sin una sanitización adecuada.

El riesgo crece cuando una página web deja de parecer una página web

El caso resulta interesante porque rompe una intuición bastante común. Nadie se sorprende cuando se advierte del peligro de ejecutar un archivo desconocido. Con una pequeña caja de chat animada la percepción cambia: parece decoración.

Pero una Browser Source sigue siendo una página web ejecutándose dentro de un navegador. Que esté rodeada de escenas, cámaras y controles de audio no altera demasiado esa realidad técnica.

OBS se ha convertido en una herramienta central del ecosistema del streaming precisamente porque permite conectar piezas muy distintas. Esa flexibilidad es formidable; también multiplica la confianza depositada en servicios de terceros. El programa puede estar correctamente instalado y el sistema operativo completamente actualizado y, aun así, una página web vulnerable añadida por el propio usuario puede abrir una grieta.

Un simple mensaje revela un problema bastante mayor

La historia no demuestra que Twitch sea inseguro ni que escribir en un chat permita tomar automáticamente el ordenador de un streamer. Demuestra algo más específico y, quizá, más útil: una cadena de fallos modestos puede acabar produciendo un resultado enorme.

Primero, un overlay trata mal el contenido introducido por un espectador. Después, ese contenido alcanza un navegador integrado con una vulnerabilidad conocida. Por último, una protección importante del navegador está desactivada. Ninguna pieza cuenta toda la historia por separado; juntas, sí.

OBS 33 moderniza de forma drástica Chromium y elimina la vulnerabilidad de V8 utilizada en la prueba. Hasta que esa generación llegue de forma estable, el episodio deja una advertencia bastante terrenal para el streaming: una animación, un contador o un cuadro de chat pueden parecer accesorios inocentes, pero detrás hay código ejecutándose dentro de un navegador. Y el código, aunque lleve bordes de neón y emojis, sigue siendo código.