Una vulnerabilidad 0-day en Chrome pone en riesgo a usuarios de tres sistemas operativos

Google corrigió en Chrome una vulnerabilidad para la que ya existe un exploit utilizado en ataques reales. El error peligroso se ocultaba en el procesamiento de XML, y junto con él los desarrolladores solucionaron otras ocho vulnerabilidades de seguridad. La actualización se publica para Windows, macOS y Linux.

La vulnerabilidad CVE-2026-125350 recibió un nivel de gravedad alto. El problema pertenece a la clase use-after-free, cuando un programa accede a memoria ya liberada. El hallazgo fue reportado el 6 de noviembre por un investigador anónimo. Tres días después Google lanzó una corrección y confirmó la existencia de un exploit que ya se utiliza fuera de laboratorios.

Los detalles del ataque aún se desconocen. La empresa no identificó a los atacantes, a las víctimas ni el método por el que el exploit activa el manejador de XML. Errores de este tipo pueden corromper la memoria y provocar fallos de la aplicación, y en ciertas condiciones facilitan la ejecución de código ajeno. Sin embargo, Google no describió las capacidades concretas del exploit detectado.

En el manejador de XML también se corrigió una segunda vulnerabilidad use-after-free, CVE-2026-125346. Fue encontrada el 12 de octubre por Arni Hardarson de Neonix Security. Google no informó de ataques que emplearan este fallo. Problemas de acceso a memoria liberada se han observado también en otras actualizaciones de Chrome, pero pertenecer a la misma clase no implica un modo de explotación común.

Cinco vulnerabilidades de alto nivel más afectaron al motor de JavaScript, al subsistema gráfico y al manejo de archivos. Entre ellas, confusión de tipos en el motor V8, desbordamiento de búfer al componer una imagen, escrituras fuera de los límites de la memoria de la GPU, verificación incorrecta de permisos de FileSystem y manejo de un recurso WebGL no inicializado. Dos vulnerabilidades de riesgo medio están relacionadas con recursos de la GPU no inicializados.

El número total de correcciones fue de nueve, siete de las cuales Google calificó como de alto riesgo. Para Chrome, la serie de correcciones urgentes no fue una sorpresa. El 3 de noviembre salió la versión 157 con 213 problemas de seguridad corregidos, incluidas siete críticas. Anteriormente la compañía ya había corregido zero-day en V8 que llegaron a usarse en ataques.

En el boletín de actualización del 9 de noviembre se indican las compilaciones protegidas 157.0.8103.50 y 157.0.8103.51 para Windows y macOS, así como 157.0.8103.50 para Linux. La nueva versión se distribuirá gradualmente, durante varios días o semanas. Para la rama Extended Stable se publicó la compilación 156.0.8078.96, que también corrige la vulnerabilidad XML que se estaba explotando activamente.

Se puede comprobar la versión desde el menú de Chrome, abriendo «Ayuda» y luego «Acerca de Google Chrome». Tras instalar la corrección, es necesario reiniciar el navegador; de lo contrario, el código antiguo seguirá en ejecución. Los usuarios de Edge, Brave y otros navegadores basados en Chromium deben verificar por separado la disponibilidad de parches para sus productos: los retrasos en las actualizaciones dejan versiones vulnerables en circulación.