VideoLAN ha publicado VLC 3.0.24, la vigesimoquinta versión de la rama Vetinari. El proyecto lo describe como una actualización de seguridad de peso: más de 130 correcciones en el reproductor y en las bibliotecas que lleva empaquetadas, un salto de FFmpeg 4.4 a 8.1.2 y 49 dependencias actualizadas. Los avisos detallados llegarán a la página de seguridad de VideoLAN unos días después del lanzamiento, anunciado el 22 de septiembre de 2026.
Qué ha confirmado VideoLAN
En la nota de versión oficial y en la página de noticias del proyecto, VideoLAN resume así el paquete:
- Más de 130 correcciones de seguridad en VLC y en las bibliotecas incluidas.
- Correcciones de accesos fuera de límites, desbordamientos de enteros, dobles liberaciones de memoria y usos de memoria ya liberada.
- FFmpeg pasa de 4.4 a 8.1.2.
- Se actualizan 49 bibliotecas de terceros.
- Nueva clave RSA-4096 para verificar las actualizaciones del propio VLC.
- Se desactiva RealRTSP en todas las compilaciones.
- Se elimina el complemento de navegador NPAPI y el script Lua de YouTube, que el proyecto considera roto.
El equipo agradece a investigadores de seguridad, al proyecto OSS-Fuzz y al programa Sovereign Tech Fund de la Sovereign Tech Agency, que financia sostenibilidad y endurecimiento del reproductor. Los boletines individuales aún no estaban publicados en videolan.org/security el día del anuncio; VideoLAN avisa que se actualizarán días después. Hasta entonces, lo prudente es tratar 3.0.24 como parche urgente y no especular con identificadores CVE que no ha listado el propio proyecto.
Entre las bibliotecas que el registro de cambios cita como actualizadas aparecen componentes que VLC usa a diario: dav1d, FFmpeg, freetype, gcrypt, FLAC o libaom. Un fallo en cualquiera de ellas se hereda en el binario que el usuario descarga. Por eso VideoLAN cuenta las correcciones «del reproductor y de las bibliotecas empaquetadas» como un solo lote, no como un parche cosmético del cono naranja.
Por qué importa actualizar un reproductor
VLC no es un servicio en la nube: analiza ficheros locales, listas de reproducción, discos y flujos de red. Un demultiplexador o un decodificador con un fallo de memoria puede convertirse en una puerta si el usuario abre un vídeo o una lista preparada. Eso no convierte a VLC en un programa especialmente inseguro —lleva décadas publicando boletines—, pero sí explica por qué un salto de 130 parches no es cosmético.
El escenario habitual no es un ataque dirigido a una redacción. Es un archivo compartido por Telegram, una carpeta de descargas o un M3U copiado de un foro. VLC está diseñado para tragarse contenedores rotos; esa tolerancia es útil y, a la vez, obliga a endurecer el parser. Quien deje 3.0.23 o anterior en un PC compartido asume ese riesgo sin ninguna ventaja de funciones.
Desactivar RealRTSP encaja con esa lógica. El protocolo RealTime Streaming Protocol de RealNetworks es residual en 2026. Mantener un analizador para un formato que casi nadie usa de forma legítima aumenta superficie de ataque. VideoLAN ha optado por cortarlo de raíz en lugar de seguir parcheándolo. NPAPI, el viejo complemento de navegador, ya no tiene sentido en Chrome ni en Firefox modernos.
La nueva clave RSA-4096 cambia cómo el actualizador comprueba que el binario viene del proyecto. Quien instale desde videolan.org o desde los repositorios oficiales de su distribución no tiene que hacer nada extra; sí conviene desconfiar de instaladores reempaquetados en páginas de descargas de terceros, un clásico en España cuando se busca «descargar VLC gratis» en el buscador.
FFmpeg 8.1.2 y el resto de novedades técnicas
El cambio de motor de códecs es el más visible después de la seguridad. FFmpeg 4.4 tenía años. Pasar a 8.1.2 arrastra correcciones de formatos, mejoras de decodificación y soporte de códecs que la rama antigua ya no recibía con la misma intensidad. VideoLAN también añade decodificación ATRAC3 y ATRAC9 —el audio que MiniDisc y varias consolas Sony usaron durante años—, subtítulos CEA-708 dentro de MP4, modo listener de SRT y autenticación por clave pública en SFTP, con soporte de claves de anfitrión ED25519.
ATRAC no va a cambiar el día a día de quien solo ve series en MKV. Sí importa a quien conserva rip de PSP, grabaciones de MiniDisc o pistas de juegos antiguos. CEA-708 cubre subtítulos de emisión estadounidense incrustados en MP4, un caso que aparece en capturas y archivos de televisión. SRT listener y SFTP con clave pública son para quien usa VLC como cliente de streaming o de NAS, no como simple doble clic.
En Windows corrige el arranque lento cuando cambia el horario de verano, añade captura DirectShow en NV12, y arregla cuelgues de audio y problemas de renderizado con Direct3D11. En macOS 26 y posteriores corrige un cuelgue del sintetizador MIDI de AudioToolbox. Hay mejoras de Qt 6, RIST, detección de idioma de subtítulos y WebVTT. El registro de cambios completo está en el fichero NEWS del etiquetado 3.0.24 del repositorio del proyecto.
Cómo actualizar en España, plataforma a plataforma
En Windows, la vía oficial es el instalador de 32 o 64 bits en get.videolan.org. Si VLC ya está instalado, Ayuda → Comprobar actualizaciones usa la nueva clave. Evita paquetes «offline» de portales que añaden barras o bundleware. El tamaño del instalador de Windows ronda los 43 MB en la ficha de la 3.0.24.
En macOS, el DMG universal 3.0.24 cubre Apple Silicon e Intel. App Store puede ir más tarde que el canal directo del proyecto. Quien tenga VLC anclado por Gatekeeper solo tiene que aceptar el reemplazo del bundle.
En Linux, VideoLAN no publica un único binario para todas las distros: pide el paquete al mantenedor. En Ubuntu, Debian, Fedora o Arch la versión 3.0.24 llegará cuando el repositorio la acepte. Flatpak entra ahora en las compilaciones oficiales, útil si la distro se retrasa —un caso frecuente en las Ubuntu LTS que aún usan muchas administraciones y universidades en España.
En Android e iOS las tiendas van por numeración propia. Esta nota cubre el escritorio 3.0.24. Conviene revisar igual Play Store y App Store: el motor de códecs comparte familia, pero el ciclo de publicación no es el mismo día.
Si usas VLC para abrir listados de red, SRT o SFTP, prueba un archivo conocido después de actualizar. El salto de FFmpeg suele mejorar compatibilidad, no romperla, pero un filtro o un perfil de streaming casero puede comportarse distinto. Guarda la versión anterior solo si dependes de un módulo que 3.0.24 desactiva a propósito, como RealRTSP.
Qué no cambia —y qué queda abierto
VLC 3.0.24 sigue siendo software libre, sin publicidad ni telemetría de uso. No hay cuenta obligatoria. El proyecto no ha anunciado aquí el salto definitivo a VLC 4.0; Vetinari continúa como rama estable para Windows, macOS, Linux, Android e iOS en los rangos de sistema que ya documentaba la serie 3.0.
Queda abierto el detalle CVE a CVE. Hasta que VideoLAN publique el boletín, cualquier lista de identificadores que circule en prensa secundaria debe leerse como no confirmada por la fuente primaria. También queda por ver cuánto tardan las tiendas móviles y los repositorios Linux de España en ofrecer el paquete.
Para un reproductor que sigue siendo el comodín de formatos raros en PCs de casa y de redacción, el mensaje es simple: instala 3.0.24 desde el canal oficial y no esperes al aviso fino. Los 130 parches ya están en el binario.
Descarga oficial: videolan.org/vlc. Notas: 3.0.24. Seguridad: videolan.org/security.
Deja una respuesta