Google ha publicado una actualización de emergencia de Chrome para corregir CVE-2026-125350, una vulnerabilidad de alta gravedad en el componente XML del navegador que ya se está utilizando en ataques. La compañía confirmó que conoce la existencia de un exploit activo, pero no ha revelado quién está detrás de los ataques ni cómo se están llevando a cabo.
El fallo es el octavo zero-day explotado de Chrome desde el comienzo de 2026. La actualización estable para escritorio, basada en Chrome 157, también corrige otras ocho vulnerabilidades: seis de gravedad alta y dos de gravedad media, según SecurityWeek. Google publicó los parches el lunes; el aviso de la compañía no ofrece detalles sobre los incidentes.
Google is aware that an exploit for CVE-2026-125350 exists in the wild.
— Google, en su aviso de seguridad
Un objeto eliminado que conserva una referencia
CVE-2026-125350 es un error de tipo use-after-free, o uso después de liberar memoria, en el componente XML de Chrome. Se produce cuando el navegador procesa datos XML, elimina de la memoria un objeto y no borra el puntero que todavía apunta a él. Si después intenta volver a acceder a esa zona ya liberada, un atacante puede aprovechar la situación para alterar la memoria del proceso.
BleepingComputer describe la vulnerabilidad como un problema de corrupción de memoria de alta gravedad. The Hacker News señala que este tipo de fallo puede permitir daños en los datos, bloqueos del programa o la ejecución de código arbitrario. El centro de respuesta a emergencias informáticas de Hong Kong (HKCERT) también advierte de que, en este caso, un atacante remoto podría explotar el error XML y clasifica el riesgo como extremadamente alto.
La puntuación CVSS de CVE-2026-125350 figura como no disponible en The Hacker News. Google no ha publicado información concreta sobre las campañas que la aprovechan. Su aviso explica que los detalles técnicos y los enlaces del fallo pueden permanecer restringidos hasta que la mayoría de los usuarios haya recibido la corrección; también mantendrá esa restricción si el problema afecta a una biblioteca de terceros que otros proyectos utilicen y aún no hayan parcheado.
Una actualización para Windows, macOS y Linux
El parche llega a los usuarios del canal estable de escritorio en Chrome 157. Las versiones indicadas son 157.0.8103.50/.51 para Windows y macOS, y 157.0.8103.50 para Linux. HKCERT identifica como afectadas las versiones anteriores a esos números y recomienda instalar la versión corregida o una posterior.
Google advierte que la distribución de la actualización puede tardar días o semanas en llegar a todos los usuarios. BleepingComputer, sin embargo, encontró el parche disponible de inmediato al buscar actualizaciones el día de la publicación. Quienes no quieran iniciar la comprobación manualmente pueden dejar que Chrome busque e instale la actualización automáticamente al volver a abrir el navegador.
The Hacker News indica también la ruta para comprobarla: abrir «Más», entrar en «Ayuda» y seleccionar «Información de Google Chrome»; después, elegir «Reiniciar» para completar la instalación. La recomendación se extiende a quienes usan navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, que deberán aplicar sus respectivas correcciones cuando estén disponibles.
Nueve fallos corregidos y ocho zero-days en 2026
La actualización resuelve nueve vulnerabilidades en total, según The Hacker News y SecurityWeek. Además del zero-day XML, Google corrigió seis fallos de gravedad alta en los componentes WebGL, FileSystem, Compositing, GPU, V8 y XML. SecurityWeek informa de que la mayoría fueron descubiertos internamente por Google. También se solucionaron dos errores de gravedad media descritos como problemas de recursos no inicializados en el componente GPU.
Con CVE-2026-125350, Google suma ocho vulnerabilidades de Chrome explotadas activamente desde enero. Las otras siete son CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 y CVE-2026-87491.
El historial de este año incluye un error de invalidación de iteradores en CSSFontFeatureValuesMap, corregido a mediados de febrero. En marzo llegaron parches para una escritura fuera de límites en la biblioteca gráfica Skia y para una implementación inadecuada en V8, el motor de JavaScript y WebAssembly de Chrome. En abril se corrigió un use-after-free en Dawn, la implementación multiplataforma de WebGPU utilizada por el proyecto Chromium.
En junio, Google reparó una vulnerabilidad de lectura y escritura fuera de límites en V8. En septiembre corrigió otros dos fallos en ese motor: una escritura fuera de límites y un error de confusión de tipos. Los identificadores de esos problemas son, respectivamente, CVE-2026-11645, CVE-2026-87491 y CVE-2026-85046. BleepingComputer cifra en ocho los zero-days explotados que Google corrigió en 2025 y apunta que varios fueron comunicados por el Threat Analysis Group de la compañía, que sigue exploits de día cero utilizados en ataques de spyware.
Sin detalles públicos sobre los ataques
Un investigador de seguridad anónimo comunicó CVE-2026-125350 a Google el 6 de noviembre de 2026, según The Hacker News y SecurityWeek. No se ha divulgado su identidad. Tampoco se conocen públicamente los responsables de los ataques o los objetivos afectados; Google no ha descrito el uso observado más allá de confirmar que el exploit existe en circulación.
SecurityWeek añade que, en el momento de su publicación, CVE-2026-125350 aún no aparecía en el catálogo Known Exploited Vulnerabilities (KEV) de CISA. La actualización que Google ya distribuye corrige el fallo en las versiones de escritorio indicadas; para los navegadores derivados de Chromium, queda pendiente la llegada de sus propios parches.
Fuentes: BleepingComputer, The Hacker News, Chrome Releases, SecurityWeek, The Hacker News, Hong Kong Computer Emergency Response Team Coordination Centre
