Por Canuto  

Google corrigió una vulnerabilidad de alta gravedad en Chrome después de confirmar que atacantes ya la estaban explotando. Con este caso, el navegador suma ocho zero-days explotados en 2026, la misma cantidad que registró durante todo 2025, según el recuento citado.
***

  • La falla CVE-2026-125350 afecta el componente XML de Chrome y fue reportada de forma anónima el 6 de noviembre.
  • Google publicó una actualización para Chrome 157 en escritorio que corrige esta vulnerabilidad y otras ocho fallas.
  • La empresa no identificó a los atacantes ni a sus posibles objetivos y mantiene bajo reserva los detalles técnicos del exploit.

 

Una vulnerabilidad activa en el componente XML

Google corrigió una vulnerabilidad de alta gravedad en Chrome que, según confirmó la empresa, ya está siendo explotada por atacantes. El fallo, identificado como CVE-2026-125350, afecta el componente XML del navegador y eleva a ocho el número de zero-days de Chrome explotados activamente durante 2026, una cifra que iguala el total registrado en todo 2025, según el recuento citado por The Register.

Google informó sobre la explotación en un aviso de seguridad publicado el lunes, pero no reveló quién estaría detrás de los ataques ni qué personas u organizaciones podrían ser sus objetivos. La compañía señaló que tiene conocimiento de la existencia de un exploit para CVE-2026-125350 en circulación, sin describir cómo se utiliza ni qué consecuencias concretas habría tenido hasta ahora.

La vulnerabilidad fue reportada de forma anónima el 6 de noviembre y corresponde a un error de tipo use-after-free, una falla de gestión de memoria que ocurre cuando un programa sigue utilizando un espacio de memoria después de que ha sido liberado. Ese uso indebido puede permitir que un atacante corrompa la memoria y, potencialmente, ejecute código malicioso, aunque Google no ha confirmado que ese sea el resultado de los ataques detectados en este caso.

La clasificación de alta gravedad indica que la falla merece atención prioritaria, pero la información publicada no permite determinar el alcance de la campaña ni establecer si los atacantes apuntan a usuarios específicos. Google mantiene reservados detalles técnicos del exploit, una práctica que puede reducir la posibilidad de que otros atacantes obtengan información útil antes de que más usuarios instalen la actualización.

La actualización también corrige otros errores

La corrección está incluida en una actualización de Chrome 157 para Windows, macOS y Linux. Los números de compilación difundidos por distintas fuentes no coinciden, por lo que conviene verificar la versión disponible desde el propio navegador. Google indicó que el despliegue se realizará gradualmente durante los próximos días y semanas, así que la actualización podría no aparecer de inmediato para todos los usuarios.

Además de CVE-2026-125350, el lanzamiento soluciona otras ocho vulnerabilidades de seguridad, de acuerdo con los reportes sobre la actualización. Entre ellas hay fallas de alta gravedad relacionadas con WebGL, FileSystem, GPU, Compositing y el motor JavaScript V8, componentes que intervienen en distintas funciones del navegador.

La actualización también repara otro error use-after-free, identificado como CVE-2026-125346. Arni Hardarson, de Neonix Security, reportó en octubre una falla de este tipo en el manejo de SVG de Chrome. Google no indicó que esta vulnerabilidad también esté siendo explotada activamente, una diferencia importante frente a CVE-2026-125350, cuya explotación sí confirmó.

Google no ha publicado detalles técnicos adicionales del fallo explotado. Mantener esa información bajo reserva mientras avanza el despliegue puede dificultar que otros atacantes reproduzcan el exploit, aunque también limita los elementos disponibles para que administradores y especialistas externos evalúen de inmediato el método utilizado.

Un recuento que ya iguala el de todo 2025

El caso se incorpora a una lista de vulnerabilidades de Chrome explotadas activamente que ha crecido durante el año. En junio, Google ya había parcheado cinco zero-days, con fallas que afectaban a V8, la biblioteca gráfica Skia y la implementación de WebGPU, de acuerdo con el recuento citado por The Register.

En septiembre, la empresa corrigió otros dos errores en V8, con lo que el total llegó a siete antes del nuevo hallazgo en el componente XML. La corrección de CVE-2026-125350 marca así el octavo zero-day de Chrome explotado en 2026 y deja el recuento anual a la par del de 2025, cuando Google también parcheó ocho vulnerabilidades de este tipo.

Un zero-day es una vulnerabilidad que se explota antes de que el proveedor haya publicado una corrección. En este caso, Google confirmó que existe explotación, pero no precisó cuándo comenzó ni cuántas personas podrían estar expuestas. La confirmación no permite concluir que cada usuario de Chrome haya sido atacado ni que todos los ataques tengan el mismo propósito.

El ritmo de correcciones no permite anticipar si aparecerá otro caso antes de que termine 2026, y la información divulgada no ofrece una explicación sobre la identidad o motivación de los atacantes. Por ahora, el dato verificable es que el navegador igualó en noviembre el total de zero-days explotados de todo el año anterior, con semanas todavía pendientes en el calendario.

Cómo comprobar si Chrome está actualizado

Google indicó que la actualización llegará gradualmente durante los próximos días y semanas. Los usuarios pueden iniciar una comprobación manual desde el menú de configuración del navegador: deben seleccionar la opción “Acerca de Chrome”, donde el programa verifica si hay una versión disponible y puede iniciar el proceso de actualización.

Comprobar si está disponible el parche es pertinente porque la empresa confirmó que CVE-2026-125350 ya se explota, aunque no publicó información suficiente para medir el alcance de los ataques. La recomendación se desprende de esa confirmación y de la disponibilidad de una corrección; no equivale a afirmar que Google haya identificado una campaña dirigida contra el público general.

La actualización combina la reparación del zero-day activo con otras ocho vulnerabilidades, incluida la falla use-after-free en el manejo de SVG. Revisar la versión instalada permite atender varios problemas de seguridad a la vez; el aviso no presenta pasos especiales distintos de actualizar el navegador.

La cifra de ocho vuelve a poner el foco en la distancia entre descubrir una falla, explotarla y conseguir que los usuarios instalen una corrección. Google mantendrá los detalles técnicos bajo reserva mientras avanza el despliegue, de modo que una medida práctica para los usuarios es comprobar Chrome manualmente en lugar de esperar a que la actualización aparezca por sí sola.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados