Google corrige en Chrome una falla grave ya explotada, la octava del año

Google publicó una actualización de Chrome que corrige una falla grave ya usada en ataques, la octava de día ceroVulnerabilidad que los atacantes explotan antes de que el fabricante publique una corrección, por lo que los usuarios todavía no tienen un parche para protegerse. que el navegador recibe en lo que va de 2026. "Google sabe que existe un exploitPrograma, fragmento de código o técnica que aprovecha una vulnerabilidad de un sistema para lograr un efecto no previsto, como tomar el control o acceder a datos. para CVE-2026-125350 en circulación", escribió la empresa en las notas de la versión para computadoras, publicadas el 9 de noviembre a las 20:52 UTC (17:52 en Buenos Aires, Santiago y São Paulo, 15:52 en Bogotá y Lima, 14:52 en Ciudad de México).

La versión corregida es la 157.0.8103.50 en Linux y Android, y la 157.0.8103.50 o 157.0.8103.51 en Windows y macOS. Google avisó que llegará a todos los usuarios en los próximos días o semanas, así que conviene forzarla en lugar de esperar.

Qué es la falla

En simple, Chrome libera un pedazo de memoria mientras procesa datos en formato XMLLenguaje de marcado extensible (XML, por sus siglas en inglés): un formato de texto con etiquetas para ordenar y guardar información de manera que la puedan leer tanto personas como programas. Lo usan páginas web, documentos y servicios que intercambian datos., un lenguaje para ordenar información que usan muchas páginas y servicios, y después lo vuelve a usar como si siguiera vigente. Un atacante puede aprovechar ese descuido para acomodar la memoria a su favor y ejecutar código malicioso en el equipo, según la explicación de BleepingComputer.

En lo técnico es un uso después de liberarError de manejo de memoria en el que un programa sigue usando un espacio de memoria que ya liberó; un atacante puede aprovecharlo para bloquear el programa o hacerle ejecutar código no previsto. en el componente XML del navegador, de severidad alta según Google. Lo reportó una persona anónima el 6 de noviembre, tres días antes del parche. Google no publicó cómo se dispara ni si alcanza con visitar una página, y mantiene restringidos los detalles hasta que la mayoría de los usuarios tenga el arreglo. La falla todavía no tiene puntaje CVSS ni ficha en la base NVD de Estados Unidos.

A quién afecta

• Chrome para Windows y macOS anterior a 157.0.8103.50/.51, y para Linux anterior a 157.0.8103.50.
• Chrome para Android anterior a 157.0.8103.50, que según las notas para Android lleva los mismos arreglos de seguridad y llegará a Google Play en los próximos días.
• El canal Extended Stable, la variante de Chrome con actualizaciones más espaciadas, recibe el arreglo en la 156.0.8078.96 para Windows y macOS, según sus notas.
• Microsoft Edge, construido sobre ChromiumProyecto de código abierto que mantiene Google y que sirve de base a Chrome y a otros navegadores como Microsoft Edge, Brave y Opera. Una falla en Chromium suele afectar a todos los navegadores construidos sobre él hasta que cada uno publica su arreglo., el mismo proyecto abierto que Chrome. Microsoft escribió el 9 de noviembre en sus notas de seguridad que conoce "los exploits recientes que existen en circulación" y que trabaja en un arreglo, sin nombrar el CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla. ni dar fecha.

Estado de explotación

Explotada, según Google, que no dio detalles de los ataques, de las víctimas ni de quién está detrás. SecurityWeek señaló que no hay información pública sobre esos ataques y que la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) todavía no la sumó a su catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir.. La última versión del catálogo, del 9 de noviembre a las 19:54 UTC, es anterior al aviso de Google.

Antecedentes

Chrome acumula ocho fallas de día cero en 2026, según el recuento de BleepingComputer y SecurityWeek. En febrero Google corrigió CVE-2026-2441, en el manejo de fuentes de CSS. En marzo llegaron CVE-2026-3909, en la biblioteca gráfica Skia, y CVE-2026-3910, en el motor V8 de JavaScript. En abril, CVE-2026-5281, en Dawn, el componente de gráficos WebGPUInterfaz de programación web que permite a las páginas usar funciones de bajo nivel del procesador gráfico (GPU) de la computadora mediante JavaScript, para gráficos avanzados y cálculos.. En junio, CVE-2026-11645, otra vez en V8, y en septiembre CVE-2026-85046 y CVE-2026-87491, las dos en V8. En todo 2025, Google corrigió otras ocho.

Qué hacer

• Actualizar Chrome ya y reiniciarlo. En la computadora, abrir el menú de tres puntos, ir a Ayuda y después a Información de Google Chrome (o escribir chrome://settings/help), esperar la descarga y tocar Reiniciar. El arreglo no protege hasta que el navegador se reinicia.
• En Android, actualizar Chrome desde Google Play en cuanto aparezca la versión 157.0.8103.50.
• En empresas, forzar la actualización con las políticas de administración de Chrome y revisar que no queden equipos en versiones anteriores.
• Quien usa Microsoft Edge tiene que instalar la próxima actualización de seguridad apenas salga.

Ficha técnica

• Producto: Google Chrome para Windows, macOS, Linux y Android.
• CVE: CVE-2026-125350, sin ficha en NVD al 10 de noviembre de 2026.
• CVSS: sin puntaje publicado. Severidad alta según Google.
• Tipo: Uso después de liberar en el componente XML.
• Versiones corregidas: 157.0.8103.50/.51 en Windows y macOS, 157.0.8103.50 en Linux y Android, y 156.0.8078.96 en el canal Extended Stable.
• Aviso del fabricante: Notas de Chrome Releases del 9 de noviembre de 2026.
• Reporte: Anónimo, el 6 de noviembre de 2026.
• Alta en el catálogo KEV de CISA: ninguna al 10 de noviembre de 2026.