- Google corrigió el lunes 9 de noviembre CVE-2026-125350, un zero-day de alta gravedad en el componente XML de Chrome que ya se explota.
- Las versiones corregidas son 157.0.8103.50 y 157.0.8103.51 en Windows y macOS, y 157.0.8103.50 en Linux; también hay Extended Stable 156.0.8078.96.
- El fallo es un use-after-free reportado anónimamente el 6 de noviembre y supone el octavo zero-day explotado de Chrome en 2026, igual que en todo 2025.
- Para protegerse hay que abrir Información de Google Chrome o chrome://settings/help, instalar la actualización y reiniciar el navegador.
Google ha publicado una actualización de emergencia de Chrome para cerrar CVE-2026-125350, un zero-day de alta gravedad en el componente XML que ya se está explotando. El aviso se conoció el lunes 9 de noviembre y la corrección llega con Chrome 157 en escritorio. La compañía reconoce que hay un exploit en circulación, aunque no ha precisado quién está detrás ni a qué usuarios habría afectado.
El fallo fue reportado de forma anónima el 6 de noviembre y corregido tres días después. Google lo clasifica como un error de memoria de tipo use-after-free, que puede permitir manipular la memoria del navegador y ejecutar código malicioso si se dan las condiciones adecuadas. Con este caso, Chrome suma su octavo zero-day explotado en 2026, una cifra que iguala la de todo 2025.
¿Qué es CVE-2026-125350 y por qué Google lo considera urgente?
El error se produce en el analizador XML de Chrome: el navegador procesa un documento, libera un objeto de la memoria y mantiene activo el puntero que apuntaba a ese espacio. Si un atacante consigue que Chrome vuelva a usar o leer esa memoria liberada, puede manipular el diseño de la memoria del proceso y ejecutar código propio. Google califica el fallo como de severidad alta.
En su aviso de seguridad, Google admite textualmente: «Google tiene constancia de que existe un exploit para CVE-2026-125350 en la red». El riesgo es especialmente relevante porque este tipo de fallo puede activarse al cargar una página o un documento XML manipulado, sin que la víctima tenga que hacer nada más que abrir el contenido.
¿A quién afecta y qué versiones de Chrome están protegidas?
El riesgo afecta a quienes usan Chrome en escritorio con una versión anterior a las corregidas, tanto en equipos domésticos como corporativos. Las versiones que cierran el fallo son la 157.0.8103.50 y la 157.0.8103.51 en Windows y macOS, y la 157.0.8103.50 en Linux. Google también ha publicado la Extended Stable 156.0.8078.96 para Windows y macOS con la corrección del mismo fallo.
El despliegue automático puede tardar días o incluso semanas en alcanzar a toda la base de usuarios, por lo que no todos los equipos recibirán el parche al mismo tiempo. El paquete de Chrome 157 incluye nueve correcciones de seguridad en total, no solo la del fallo explotado. Entre las otras ocho vulnerabilidades hay parches urgentes para fallos críticos en WebGL, FileSystem, GPU, Compositing y el motor V8.
¿Cómo comprobar si tu Chrome ya está actualizado?
La forma más directa es abrir el menú de los tres puntos, entrar en Ayuda y pulsar en Información de Google Chrome. También se puede escribir chrome://settings/help en la barra de direcciones para forzar la comprobación. Si hay una actualización pendiente, el navegador la descarga; después basta con reiniciarlo para que se aplique.
- Comprobar que la versión instalada es la 157.0.8103.50 o la 157.0.8103.51 en Windows y macOS, y la 157.0.8103.50 en Linux.
- Reiniciar Chrome después de descargar la actualización, porque el parche no sustituye a la versión vulnerable hasta que el navegador se vuelve a abrir.
- En equipos gestionados, revisar que las políticas de actualización centralizada no estén retrasando el despliegue de Chrome 157.
- No esperar al aviso automático si el navegador lleva días sin cerrarse: la actualización puede quedar pendiente hasta que se reinicie.
Google avisa de que la actualización puede no aparecer de inmediato en todos los equipos, porque se distribuye de forma gradual. Por eso conviene mirar la versión instalada y no dar por hecho que el parche ya está activo solo porque Chrome se haya abierto.
¿Por qué Google mantiene en secreto los detalles del ataque?
Google no ha revelado la identidad de los atacantes, las víctimas ni la carga que entrega la explotación. La compañía sostiene que el acceso a los detalles técnicos seguirá restringido mientras la mayoría de usuarios no haya actualizado: «El acceso a los detalles del fallo y a los enlaces relacionados podría mantenerse restringido hasta que la mayoría de los usuarios haya actualizado con la corrección».
Esa opacidad es habitual cuando un fallo todavía circula sin parche universal. Publicar el código de explotación facilitaría que otros atacantes lo repliquen antes de que la mayoría de usuarios haya instalado la corrección. En este caso, lo confirmado es que existe un exploit en la red y que la actualización ya está disponible.
Además del zero-day, la actualización corrige otro use-after-free en XML identificado como CVE-2026-125346, reportado en octubre por Arni Hardarson, de Neonix Security. De ese segundo fallo no hay constancia de explotación.
El octavo zero-day de 2026 iguala la cifra de todo 2025
El caso se suma a una lista que ha crecido durante 2026. Entre los siete zero-days anteriores figuran fallos en el motor V8, la biblioteca gráfica Skia y la implementación de WebGPU, entre otros componentes. La cifra de ocho zero-days explotados en Chrome iguala el total registrado en todo 2025.
La medida práctica sigue siendo la misma: comprobar la versión, instalar la actualización y reiniciar el navegador para que el parche sustituya a la versión vulnerable. Quien mantiene Chrome abierto durante semanas con la actualización descargada pero sin reiniciar sigue expuesto al fallo.
Índice