Google publicó el lunes 9 de noviembre una actualización de seguridad de Chrome que corrige nueve fallas. Una de ellas, el CVE-2026-125350, ya se estaba aprovechando en ataques reales cuando salió el parche: es un use-after-free en el componente que procesa XML, y con él una página web preparada podía ejecutar código en la computadora de quien la abriera. Es el octavo zero-day de Chrome en lo que va de 2026.
Un zero-day es una falla que los atacantes conocen y usan antes de que exista una corrección. En el caso de Chrome, Google lo indica con una frase fija en su aviso: «Google is aware that an exploit for CVE-2026-125350 exists in the wild», es decir, sabe que hay un exploit en circulación. Un día después, la agencia de ciberseguridad de Estados Unidos (CISA) agregó el fallo a su catálogo de vulnerabilidades explotadas y les dio a las dependencias federales hasta el 24 de noviembre para corregirlo.
La versión que lo corrige es la 157.0.8103.50 (o la .51 en Windows y Mac) y también llegó a Android con el mismo número. Google la distribuye de forma escalonada «en los próximos días o semanas», así que conviene no esperar a que llegue sola.
Claves del CVE-2026-125350
- Qué es. Un use-after-free, el error de seguir usando memoria que el programa ya liberó (CWE-416). Google lo describe solo como «Use after free in XML» y lo califica como de gravedad alta; en la escala CVSS tiene 8.8 sobre 10.
- Qué permite. Según la descripción oficial del CVE, un atacante remoto puede «ejecutar código arbitrario dentro del sandbox» con una página HTML preparada. No hace falta iniciar sesión ni instalar nada: basta con que la víctima abra esa página.
- Quién lo encontró. Un investigador anónimo, que lo reportó el 6 de noviembre. Google sacó el parche tres días después.
- Qué no se sabe. Google no dijo quién lo usó, contra quién ni en qué parte exacta del procesamiento de XML está el error. Mantiene restringidos los detalles hasta que la mayoría de los usuarios actualice, y también si el fallo estuviera en una biblioteca de terceros que otros proyectos todavía no corrigen.
- No llegó solo. La misma actualización corrige otro use-after-free en XML, el CVE-2026-125346, reportado en octubre por Arni Hardarson, de Neonix Security. De ese no hay indicios de ataques.
- Otros navegadores. CISA advierte que la falla puede afectar a otros navegadores basados en Chromium, «incluidos, entre otros, Microsoft Edge y Opera». Esos navegadores suelen recibir la corrección unos días después que Chrome.
Cómo saber si ya estás protegido
En la computadora, escribe chrome://settings/help en la barra de direcciones (o entra al menú de tres puntos, Ayuda, Información de Google Chrome). Chrome revisa en ese momento si hay versión nueva y la descarga; cuando termina, aparece el botón Reiniciar. El parche no queda activo hasta que el navegador se cierra y se vuelve a abrir, y Chrome reabre las pestañas que tenías. Debe decir 157.0.8103.50 o posterior.
En Android, la actualización llega por Google Play: abre la tienda, busca Chrome y toca «Actualizar» si aparece. En el iPhone, Chrome usa el motor de Apple y su actualización de esta semana no menciona el fallo.
Si usas Edge, Brave, Opera o Vivaldi, revisa también su página de información (por ejemplo edge://settings/help) y actualiza en cuanto haya versión nueva. Y si administras equipos de una empresa, este es de los que conviene empujar el mismo día: no requiere más que visitar una página.
Por qué el navegador sigue siendo el blanco favorito
El navegador es el programa que más contenido ajeno procesa: cada página trae HTML, CSS, JavaScript, imágenes, fuentes y, a veces, XML, el formato de datos con etiquetas que explicamos en JSON y XML: qué son y en qué se diferencian. Cada uno de esos formatos tiene su propio código para leerlo, y cualquier error de memoria en ese código puede convertirse en una puerta. No es casualidad que tres de los ocho zero-days de Chrome de este año sean use-after-free y que cuatro estén en V8, el motor de JavaScript.
Lo que limita el daño es el sandbox: aunque el atacante logre ejecutar código, queda encerrado en el proceso de la pestaña, sin acceso directo a tus archivos. Por eso los ataques serios casi siempre encadenan dos fallos, uno para entrar y otro para salir de esa caja, y por eso un zero-day como este suele aparecer en campañas dirigidas, no en ataques masivos. Pero el primer eslabón ya está en manos de alguien, y la única defensa práctica para el resto de nosotros es tener la versión corregida.
Para quien escribe software, el caso repite una lección conocida: leer formatos complejos que vienen de fuera es de lo más delicado que hace un programa. Si trabajas con XML, valida lo que recibes antes de procesarlo (puedes probarlo con nuestro validador de XML) y mantén al día las bibliotecas que lo leen.
En resumen: Chrome 157.0.8103.50 cierra una falla que ya se usaba para ejecutar código con solo abrir una página. Entra a chrome://settings/help, deja que se actualice y reinicia; si usas otro navegador basado en Chromium, revisa que también haya recibido el parche.
Fuente: Chrome Releases, actualización estable para computadoras (9 de noviembre de 2026); NVD, CVE-2026-125350; catálogo KEV de CISA; BleepingComputer.