¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
El zero-day de Chrome CVE-2026-125350 ya se usa en ataques reales y Google lo admitió el lunes 9 de noviembre en su aviso de seguridad: existe una herramienta de explotación activa contra el navegador. La corrección salió el mismo día en Chrome 157, y quien reinicie el navegador hoy queda fuera de ese riesgo concreto.
Datos clave: CVE-2026-125350, gravedad alta, componente XML · Reportado el 6 de noviembre por un investigador anónimo · Parche el 9 de noviembre, tres días después · Versión corregida: 157.0.8103.50/.51 en Windows y macOS, 157.0.8103.50 en Linux · Octavo zero-day explotado de Chrome en 2026.
El fallo es de uso tras liberación, un error de memoria con nombre técnico use-after-free. El analizador XML de Chrome procesa un documento, libera un objeto de la memoria y deja vivo el puntero que apuntaba a ese objeto. Cuando el navegador vuelve a usar esa dirección, un atacante que preparó el contenido puede manipular la memoria y ejecutar código propio.
CyberInsider revisó el parche público de Chromium ligado al identificador del fallo y encontró la raíz en libxslt, la biblioteca que transforma documentos XML con hojas de estilo XSLT. El problema vive en su caché de coincidencia de patrones: una evaluación XML anidada puede liberar y reemplazar un objeto guardado mientras una operación anterior conserva la dirección vieja.
Esa explicación todavía es parcial. Google mantiene restringidos los detalles del error y los enlaces técnicos hasta que la mayoría de los usuarios instale la corrección, la práctica habitual cuando una explotación circula antes que el parche.
Google no ha identificado a los atacantes, ni a las víctimas, ni la carga que entrega la explotación. Esa ausencia importa. Con los datos públicos solo se puede afirmar que el ataque existe y que el fallo permite corrupción de memoria en el navegador; convertir eso en una historia de espionaje concreto o de robo masivo sería inventar el resto.
Nueve correcciones y un canal extendido con otra numeración
La versión de escritorio trae nueve correcciones de seguridad en total, siete de gravedad alta y dos de gravedad media. Dentro de las altas hay un segundo fallo de uso tras liberación en XML, CVE-2026-125346, reportado en octubre por Arni Hardarson, de Neonix Security. De ese segundo fallo no hay constancia de explotación.
El resto del lote toca piezas que cualquier lector usa a diario sin verlas. Entran una confusión de tipos en V8, el motor de JavaScript; una escritura fuera de límites en la unidad de procesamiento gráfico; un desbordamiento de búfer en Compositing; una autorización incorrecta en FileSystem; y un recurso sin inicializar en WebGL, la vía de los gráficos tridimensionales en la web.
Las empresas con el canal Extended Stable miran otro número. Ese canal recibió la versión 156.0.8078.96 para Windows y macOS, con once correcciones que incluyen el mismo CVE-2026-125350.
Android entra en la misma ronda: Google distribuye Chrome 157.0.8103.50 para teléfonos por Google Play durante los próximos días, con las mismas correcciones.
El octavo del año iguala la cuenta completa de 2025
SecurityWeek lleva la cuenta anual y la cifra pesa: ocho zero-day explotados y corregidos en 2026, la misma cantidad que Google cerró en todo 2025, con casi dos meses de calendario por delante. The Register lo resumió con una imagen de juego de persecución que se repite, y los identificadores le dan la razón en los papeles.
La serie empezó en febrero con CVE-2026-2441, un error en el mapa de valores de fuentes CSS. Marzo trajo dos más, CVE-2026-3909 en la biblioteca gráfica Skia y CVE-2026-3910 en V8. Abril sumó CVE-2026-5281 en Dawn, la base de WebGPU, y junio añadió CVE-2026-11645, otra vez en V8, con lectura y escritura fuera de límites.
Septiembre cerró dos de golpe en V8, CVE-2026-85046 y CVE-2026-87491. El patrón es claro: V8 y los componentes de memoria concentran los ataques reales, y la ventana entre explotación y parche se mide en días.
Este sitio ya contó en junio una vulnerabilidad zero-day de Google Chrome con actualización urgente, la de V8 de aquel mes.
Cinco meses después la escena se repite con otro componente y otro identificador, y la lección práctica no cambió: el navegador que queda abierto durante semanas con la actualización descargada sigue expuesto igual que el primer día.
Porque descargar no es aplicar. Chrome baja la corrección en segundo plano y la deja pendiente hasta el próximo reinicio del navegador; quien trabaja con veinte pestañas abiertas y pospone ese reinicio por comodidad conserva el fallo vivo en cada sesión.
BleepingComputer comprobó el 10 de noviembre que la actualización ya aparecía al buscarla a mano, aunque Google avisa que el despliegue automático puede tardar días o semanas en llegar a todos.
La comprobación toma un minuto. En el menú de Chrome, Ayuda y luego Información de Google Chrome muestra la versión y busca actualizaciones; el botón de reinicio aplica el parche. Si la versión empieza por 157.0.8103.50 o una mayor, ese equipo ya trae la corrección.
CISA, la agencia de ciberseguridad de Estados Unidos, todavía no sumó CVE-2026-125350 a su catálogo de vulnerabilidades explotadas al 10 de noviembre, reportó SecurityWeek. Google confirmó la explotación con sus propias palabras, y eso basta para tratar la actualización como tarea de hoy.
Fuente: CyberInsider
