Google lanzó el lunes 9 de noviembre una actualización de seguridad de Chrome para corregir nueve vulnerabilidades, incluida una que ya se está usando en ataques. Según SecurityWeek, es el octavo zero-day del navegador explotado durante 2026.

🔒 La falla se identifica como CVE-2026-125350, tiene severidad alta y afecta al componente XML; no se ha publicado una puntuación CVSS. Es un error de tipo use-after-free: el navegador conserva una referencia a un objeto cuya memoria ya liberó, y un atacante puede aprovechar un acceso posterior para manipular la memoria y ejecutar código malicioso. Una persona que pidió permanecer anónima la reportó a Google el 6 de noviembre.

🛠️ El parche llega al canal estable de escritorio de Chrome 157: las versiones corregidas son 157.0.8103.50/.51 para Windows y macOS, y 157.0.8103.50 para Linux. El despliegue puede tardar días o semanas en alcanzar a todos, aunque BleepingComputer informó que ya pudo obtenerlo al buscar actualizaciones el 10 de noviembre. También puede dejarse la comprobación a Chrome, que instala las actualizaciones automáticamente tras el siguiente inicio.

⚙️ Las otras ocho correcciones cubren seis fallas de severidad alta en WebGL, FileSystem, Compositing, GPU, V8 y XML, además de dos problemas de recursos sin inicializar en GPU, clasificados con severidad media. Google encontró internamente la mayoría de las vulnerabilidades. La compañía no ha divulgado detalles de los ataques contra el zero-day y, al momento del reporte, CISA todavía no lo había incorporado a su catálogo de vulnerabilidades explotadas conocidas, KEV.

¿Por qué importa?

No es únicamente un error descubierto en pruebas: ya hay explotación activa, así que conviene revisar la actualización del navegador que usas para trabajar o navegar. Google explica que puede restringir los detalles técnicos hasta que la mayoría de los usuarios tenga el parche, o mantenerlos reservados si hay una biblioteca de terceros afectada que otros proyectos todavía no han corregido.

El nuevo parche se suma a otros siete zero-days de Chrome utilizados en ataques y corregidos durante 2026. El historial incluye distintos componentes del navegador, no solamente XML:

  • A mediados de febrero: CVE-2026-2441, un error de invalidación de iteradores en CSSFontFeatureValuesMap, la implementación de Chrome para valores de características de fuentes CSS.
  • En marzo: CVE-2026-3909, una escritura fuera de límites en la biblioteca gráfica 2D Skia, y CVE-2026-3910, una implementación inadecuada en V8, el motor de JavaScript y WebAssembly.
  • En abril: CVE-2026-5281, un use-after-free en Dawn, la implementación multiplataforma de WebGPU utilizada por Chromium.
  • En junio: CVE-2026-11645, una vulnerabilidad de lectura y escritura fuera de límites en V8.
  • En septiembre: CVE-2026-87491, una escritura fuera de límites, y CVE-2026-85046, una confusión de tipos; ambas en V8.

Como antecedente, Google corrigió ocho zero-days explotados en ataques durante 2025. Muchos fueron reportados por su Grupo de Análisis de Amenazas, TAG, que rastrea exploits de día cero utilizados en ataques con software espía.

💬 ¿Ya te aparece la versión corregida de Chrome o todavía estás esperando la actualización?

¿Pero deveras? 🌵💚