Google ha publicado una actualización de seguridad para Google Chrome que corrige una vulnerabilidad crítica de tipo use-after-free en el componente ServiceWorker, identificada como CVE-2025-10200. El hallazgo, reportado de forma responsable por Looben Yang, ha sido recompensado con 43.000 dólares en el programa de bug bounty. En el mismo ciclo se ha solucionado CVE-2025-10201 en Mojo, con una recompensa total de 30.000 dólares para Sahan Fernando y otra persona que prefirió el anonimato.
CVE-2025-10200 en ServiceWorker: ejecución de código y superficie de ataque
Los fallos use-after-free aparecen cuando el software accede a memoria ya liberada. En navegadores, este patrón puede desembocar en ejecución arbitraria de código al visitar páginas maliciosas o al procesar contenido manipulado. ServiceWorker, responsable de tareas en segundo plano como caché, interceptación de peticiones y soporte sin conexión, se sitúa en una ruta de procesamiento sensible; una condición de memoria explotable en este componente puede facilitar la manipulación del ciclo de vida de páginas y recursos.
Por qué los use-after-free siguen siendo determinantes en Chrome
En proyectos de gran escala escritos en C/C++, las vulnerabilidades de seguridad de memoria continúan siendo predominantes. Informes públicos del equipo de Chrome han señalado históricamente que una parte sustancial —en torno al 70% de los fallos de alta gravedad— se relaciona con errores de gestión de memoria. Aunque Chrome aplica mitigaciones como aislamiento de sitios, sandboxing estricto y defensas como raw_ptr/MiraclePtr para dificultar la explotación de UAF, la actualización inmediata por parte del usuario sigue siendo la medida más efectiva para reducir el riesgo.
CVE-2025-10201 en Mojo: integridad del IPC y encadenamiento de vulnerabilidades
Mojo es el marco de comunicación entre procesos (IPC) que sustenta numerosos API internos de Chrome. Un defecto en esta capa, como CVE-2025-10201, puede no ser crítico en solitario, pero resulta relevante para la integridad y el aislamiento del navegador, especialmente cuando los atacantes combinan fallos para elevar impacto. Corregir este tipo de errores limita el potencial de encadenamiento y refuerza la arquitectura de seguridad por capas.
Versiones corregidas y cómo actualizar Google Chrome
Los parches están disponibles en los canales estables: 140.0.7339.127/.128 para Windows, 140.0.7339.132/.133 para macOS y 140.0.7339.127 para Linux. En el momento del anuncio, Google indicó que no había evidencia pública de explotación activa, pero recomienda actualizar de inmediato.
Para comprobar la versión y aplicar el parche: Menú → Ayuda → Acerca de Google Chrome. La descarga es automática y requiere reiniciar el navegador para completar la instalación. En entornos corporativos, se aconseja monitorizar el despliegue mediante políticas de actualización y telemetría de inventario.
Bug bounty: inversión sostenida en detección temprana
Las recompensas de 43.000 y 30.000 dólares evidencian la apuesta de Google por la colaboración con la comunidad de investigación. Hace apenas un mes, un investigador bajo el seudónimo Micky obtuvo 250.000 dólares por un fallo que permitía bypassear la sandbox de Chrome, un componente clave para contener el impacto incluso cuando se explota un bug en el proceso de renderizado. Estas iniciativas acortan la ventana de exposición al incentivar el reporte responsable antes de que los fallos se conviertan en 0-day.
Recomendaciones prácticas para empresas y usuarios
Para organizaciones: priorizar despliegues acelerados tras parches críticos, inventariar versiones de Chrome en endpoints, aplicar políticas de actualización forzada y revisar el uso de extensiones. Para usuarios: mantener actualizaciones automáticas activadas, evitar sitios de dudosa reputación y limitar la instalación de extensiones a fuentes verificadas.
Actualizar a 140.0.7339.127+ en Windows/Linux y 140.0.7339.132+ en macOS reduce significativamente el riesgo frente a explotación oportunista. Seguir el blog oficial de Chrome Releases y minimizar el tiempo entre la publicación del parche y su instalación es crucial para cerrar el “ventana de vulnerabilidad”. Adoptar esta disciplina operativa mejora la resiliencia tanto de usuarios individuales como de entornos empresariales.
