Google corrige nueve vulnerabilidades en Chrome; CVE-2026-125350 ya explotada

Google publicó el lunes actualizaciones de seguridad para el navegador Chrome que corrigen nueve vulnerabilidades, entre ellas una falla de alta severidad que la compañía confirma está siendo explotada activamente en entornos reales. El fallo recibido como CVE-2026-125350 ha sido descrito por Google como un error de tipo use-after-free en el componente XML del navegador; un investigador anónimo avisó del problema el 6 de noviembre de 2026 y Google declara estar “al tanto de que existe un exploit para CVE-2026-125350 en la naturaleza”. Las versiones de Chrome que corrigen el problema son 157.0.8103.50/.51 para Windows y macOS, y 157.0.8103.50 para Linux. (Para actualizar, abra Más > Ayuda > Acerca de Google Chrome y seleccione Relanzar).

Qué sabemos con certeza: Google ha lanzado parches que solucionan nueve fallos; uno de ellos, CVE-2026-125350, es un use-after-free en el código que procesa XML y está siendo explotado en la naturaleza según la propia empresa. El descubrimiento fue reportado por un investigador anónimo el 6 de noviembre de 2026 y Google aplica la práctica habitual de restringir detalles técnicos hasta que la mayoría de usuarios hayan recibido el arreglo. Además, la compañía indica que este es uno más dentro de una serie de vulnerabilidades explotadas en 2026; desde el inicio del año ha mitigado ocho cero-días activamente explotados, con CVE listadas públicamente por Google.

Qué significa técnicamente un use-after-free en XML: un use-after-free se produce cuando el programa accede a memoria que ya ha sido liberada; el resultado típico es comportamiento impredecible que puede derivar en caídas (crash), corrupción de datos o ejecución arbitraria de código si un atacante consigue controlar el contenido de esa memoria. En este caso el fallo está dentro del procesamiento de XML, lo que sugiere que vectores plausibles incluyen documentos XML malformados, payloads embebidos en páginas web que usan parsers XML, o contenidos manipulados por extensiones o componentes que pasan datos XML al motor vulnerable. Sin embargo, Google no ha publicado el mecanismo exacto de explotación ni muestras, por lo que el vector preciso empleado en los ataques activos no está confirmado públicamente.

Consecuencias prácticas: si un atacante explota con éxito esta vulnerabilidad en un sistema sin parchear, podría escalar desde la ejecución de código dentro del proceso de Chrome hasta potencialmente ejecutar código con los privilegios del usuario que ejecuta el navegador. En el mejor de los casos el resultado es un fallo del proceso y pérdida de la pestaña o sesión; en el peor, un equipo comprometido, pérdida de datos o puente para otras intrusiones en el entorno del usuario. Dado que Google ya ha reconocido explotación activa, el riesgo para usuarios que no actualicen es inmediato.

Qué no está confirmado: la firma detrás de los ataques, la escala de la campaña (número de víctimas), y el vector de entrega exacto (por ejemplo, sitos maliciosos vs documentos adjuntos) no han sido divulgados por Google. La empresa también advierte que mantendrá restricciones de divulgación si la vulnerabilidad reside en una librería de terceros que otros proyectos aún no han solucionado; esa dependencia externa, si existe, no ha sido especificada públicamente. Por tanto, cualquier afirmación sobre la atribución o la técnica concreta usada en “la naturaleza” sería por ahora una estimación.

Para contrastar y seguir avisos oficiales sobre parches y detalles técnicos, puede consultar las comunicaciones de Google sobre lanzamientos y seguridad en el blog de Chrome Releases y la documentación de soporte sobre cómo actualizar el navegador: https://chromereleases.googleblog.com/ y https://support.google.com/chrome/answer/95414. También es recomendable monitorear el NVD para futuras entradas de CVE: https://nvd.nist.gov/.

Recomendaciones concretas para usuarios particulares: primero, actualice Chrome inmediatamente a la versión estable indicada (abra Más > Ayuda > Acerca de Google Chrome y deje que el navegador relance). Verifique la versión instalada en chrome://version. Segundo, después de actualizar, reinicie el sistema si el proceso de instalación lo solicita. Tercero, active la actualización automática si no está habilitada y considere activar la protección mejorada en Chrome (Configuración > Privacidad y seguridad > Servicios de Google) para obtener alertas más tempranas sobre descargas y sitios peligrosos. Cuarto, limite la exposición: evite descargar o abrir documentos XML o archivos desconocidos y mantenga las extensiones al mínimo, revisando permisos y origen de cada una.

Recomendaciones para administradores y equipos de seguridad: despliegue el parche en todos los equipos gestionados a la mayor brevedad posible usando sus herramientas de gestión de parches y las políticas de Chrome Enterprise. Valide la actualización en entornos de prueba antes del despliegue masivo, pero priorice la aceleración del rollout dado el estado de explotación activa. Refuerce controles compensatorios: aplique aislamiento de sitios (site isolation), políticas de bloqueo de extensiones no aprobadas, y filtros de bloqueo de contenido/IPS que puedan detectar cargas maliciosas. Revise registros EDR/IDS para identificar actividad sospechosa en los días previos y posteriores al parche y prepare reglas de detección para patrones de explotación comunes (por ejemplo, cargas XML inusuales a procesos del navegador).

Finalmente, recuerde que la cadena de suministro importa: si su organización usa navegadores derivados de Chromium (Microsoft Edge, Brave, Opera, Vivaldi, etc.), debe estar atenta a los avisos y parches que esos proveedores publiquen; a veces el arreglo llega con retraso respecto a Chrome. Google ha recordado explícitamente que navegadores basados en Chromium también deben aplicar correcciones cuando estén disponibles.

En resumen, la falla CVE-2026-125350 es un riesgo real y presente —confirmado por Google como explotado—; la defensa inmediata es aplicar la actualización difundida por Chrome y tomar medidas de mitigación adicionales en entornos de alto riesgo hasta que la telemetría y los análisis forenses confirmen que no hay infección. Manténgase atento a comunicados oficiales y a la publicación de indicadores de compromiso por parte de proveedores y equipos de respuesta.