Google ha publicado una actualización del canal estable de Chrome a las versiones 157.0.8103.50/.51 para Windows y macOS y 157.0.8103.50 para Linux, corrigiendo nueve vulnerabilidades de seguridad. Una de ellas, CVE-2026-125350, un error de tipo use-after-free en el componente XML, ya está siendo explotada por atacantes. Google lo confirma: «existe un exploit para CVE-2026-125350 que se utiliza en el mundo real». La vulnerabilidad fue incluida en el catálogo CISA KEV el 10 de noviembre de 2026, con fecha límite de corrección el 24 de noviembre de 2026. Todos los usuarios de Chrome y de navegadores basados en Chromium deben actualizarse de inmediato.
Vulnerabilidad explotada activamente: CVE-2026-125350
Use-after-free (uso después de la liberación) es una clase de errores de gestión de memoria en la que un programa accede a una región de memoria después de haberla liberado. La explotación exitosa de este tipo de vulnerabilidades puede provocar corrupción de datos, cierre inesperado del proceso o ejecución de código arbitrario. CVE-2026-125350 afecta al componente de procesamiento XML de Chrome y ha recibido la calificación High según la clasificación de Google. La vulnerabilidad fue comunicada por un investigador anónimo el 6 de noviembre de 2026 y el parche se publicó el 9 de noviembre, tan solo tres días después.
Google no revela detalles de la explotación: se desconoce tanto el mecanismo de ataque como los objetivos y los grupos que están detrás de las intrusiones. La puntuación CVSS en el momento de la publicación tampoco se ha determinado. El acceso a los detalles del informe de error está restringido hasta que la mayoría de los usuarios reciba la actualización.
Relación entre dos vulnerabilidades XML mediante código común
Un detalle técnico destacable: en esta actualización se han corregido dos vulnerabilidades use-after-free en XML — CVE-2026-125350 y CVE-2026-125346 (descubierta por Arni Hardarson de Neonix Security el 12 de octubre de 2026). Según el registro de commits de la rama Chrome 157, ambos problemas se han solucionado con un único parche que corrige un use-after-free en la caché de mapeo directo de plantillas de la biblioteca libxslt. Esto significa que ambas CVE están vinculadas al mismo flujo de ejecución de código vulnerable, lo que ofrece a los equipos de seguridad un único punto de validación a la hora de comprobar la aplicación de la actualización.
Lista completa de vulnerabilidades corregidas
Además de la CVE-2026-125350, que se explota activamente, la actualización corrige otras ocho vulnerabilidades: siete con calificación High y dos con nivel de gravedad medio:
- CVE-2026-125345 (High): recurso no inicializado en WebGL
- CVE-2026-125347 (High): autorización incorrecta en FileSystem
- CVE-2026-125343 (High): buffer overflow en Compositing
- CVE-2026-125348 (High): escritura fuera de los límites del búfer en GPU
- CVE-2026-125344 (High): confusión de tipos (type confusion) en V8
- CVE-2026-125346 (High): use-after-free en XML (descrita más arriba)
- CVE-2026-125349 (Medium): recurso no inicializado en GPU
- CVE-2026-125342 (Medium): recurso no inicializado en GPU
La mayoría de las vulnerabilidades fueron descubiertas por equipos internos de Google entre julio y octubre de 2026. Investigadores externos — Arni Hardarson (Neonix Security), Vo Duc Thang y un informante anónimo — reportaron tres de los nueve problemas.
Evaluación del impacto
Están en riesgo todos los usuarios de las versiones de escritorio de Google Chrome para Windows, macOS y Linux, así como los usuarios de navegadores basados en Chromium — Microsoft Edge, Brave, Opera, Vivaldi. El conjunto de vulnerabilidades abarca componentes críticamente importantes: el motor gráfico (WebGL, GPU, Compositing), el motor JavaScript V8, el sistema de archivos y el procesamiento XML. Las vulnerabilidades de tipo type confusion en V8 y de escritura fuera de los límites del búfer en la GPU han sido históricamente algunas de las más peligrosas para ataques al navegador, dado que pueden conducir a la ejecución de código arbitrario en el contexto del proceso de renderizado.
Anteriormente publicamos sobre la creación de exploits funcionales para Chrome; este caso confirma que las vulnerabilidades del navegador siguen siendo un objetivo prioritario para los atacantes.
Recomendaciones
CVE-2026-125350 debe encabezar el plan de remediación de vulnerabilidades: es la única de las nueve para la que Google confirma explotación en el mundo real. Las otras ocho vulnerabilidades deben considerarse prioritarias, pero en segundo lugar.
- Actualice Chrome a la versión 157.0.8103.50 (Linux) o 157.0.8103.50/.51 (Windows, macOS). Para ello, abra Menú → Ayuda → Información de Google Chrome y reinicie el navegador.
- Compruebe las versiones desplegadas en el entorno corporativo. Google indica que la actualización «se distribuirá en los próximos días o semanas», por lo que la actualización automática no garantiza una cobertura inmediata de todo el parque de dispositivos.
- Actualice los navegadores basados en Chromium — Edge, Brave, Opera, Vivaldi — en cuanto los respectivos fabricantes publiquen los parches.
- Para las organizaciones sujetas a los requisitos de CISA: la fecha límite para corregir CVE-2026-125350 es el 24 de noviembre de 2026.
La ausencia de detalles públicos sobre el exploit no reduce la urgencia: Google limita deliberadamente la información hasta que se produzca una actualización masiva de los usuarios. La única medida de protección fiable es instalar el parche. Dado que la actualización corrige dos vulnerabilidades relacionadas en libxslt mediante un único commit, la comprobación de la versión del navegador confirma al mismo tiempo el cierre de ambos problemas en el procesamiento de XML.
