Google ha lanzado actualizaciones de seguridad de emergencia para corregir una nueva vulnerabilidad de Chrome explotada en ataques de día cero, la octava de este tipo desde el inicio del año.
"Google es consciente de que existe un exploit para CVE-2026-125350 en la naturaleza", dijo la empresa en un aviso de seguridad del lunes.
La vulnerabilidad es una debilidad de uso después de liberación de alta gravedad en el componente XML del navegador web Google Chrome. Ocurre cuando el analizador XML del navegador procesa datos, elimina un objeto de la memoria del ordenador, pero no borra el puntero que hace referencia a ese objeto. Los atacantes pueden explotar esta vulnerabilidad de corrupción de memoria cuando el navegador intenta utilizar o leer ese espacio de memoria liberado posteriormente para manipular el diseño de la memoria y ejecutar código malicioso.
Un investigador anónimo informó del problema a Google el 6 de noviembre. Google no ha compartido más detalles sobre los ataques que explotan la vulnerabilidad.
"El acceso a los detalles del error y a los enlaces puede mantenerse restringido hasta que la mayoría de los usuarios estén actualizados con una corrección. También mantendremos las restricciones si el error existe en una biblioteca de terceros de la que otros proyectos dependen de manera similar, pero que aún no ha sido corregida", señaló Google.
Los parches se incluyen en las actualizaciones de Chrome 157, específicamente en las versiones 157.0.8103.50/.51 para Windows y Mac, y 157.0.8103.50 para Linux. Google dice que la actualización de seguridad podría tardar días o semanas en llegar a todos los usuarios de Chrome.
Desde el inicio del año, Google ha abordado otras siete vulnerabilidades de día cero activamente explotadas:
- CVE-2026-2441, un error de invalidación de iterador en CSSFontFeatureValuesMap, abordado a mediados de febrero
- CVE-2026-3909, una debilidad de escritura fuera de límites en la biblioteca de gráficos 2D Skia, corregida en marzo
- CVE-2026-3910, una vulnerabilidad de implementación inapropiada en el motor V8 JavaScript y WebAssembly, corregida en marzo
- CVE-2026-5281, una debilidad de uso después de liberación en Dawn, corregida en abril
- CVE-2026-11645, una vulnerabilidad de lectura y escritura fuera de límites en el motor JavaScript V8 de Chrome, corregida en junio
- CVE-2026-85046, un error de confusión de tipos en el motor JavaScript V8, corregido en septiembre
- CVE-2026-87491, un error de escritura fuera de límites en el motor JavaScript V8, corregido en septiembre