Google lanzó una actualización de emergencia para Chrome después de confirmar que una vulnerabilidad de día cero ya se estaba aprovechando en ataques reales. La falla, identificada como CVE-2026-125350, permitía a un atacante remoto ejecutar código malicioso en el equipo de la víctima.
Se trata de una vulnerabilidad de tipo use-after-free en el componente XML del navegador, clasificada con severidad alta. Este tipo de error ocurre cuando un programa sigue utilizando una zona de memoria después de haberla liberado, lo que puede provocar fallos del navegador o, en el peor de los casos, la ejecución de código arbitrario. Para detonar el ataque bastaba con que la víctima visitara una página web manipulada, por ejemplo a través de un enlace enviado en un correo de phishing, un anuncio malicioso o un sitio comprometido.
La corrección ya se distribuye en el canal estable con las versiones 157.0.8103.50 y 157.0.8103.51 para Windows y Mac, y 157.0.8103.50 para Linux, mientras que la versión de soporte extendido quedó en 156.0.8078.96. El despliegue es gradual y llegará a todos los usuarios en los próximos días o semanas.
La vulnerabilidad fue reportada de forma anónima el 6 de noviembre, apenas tres días antes de la publicación del parche. Google no reveló quién está detrás de la explotación ni cuántas personas pudieron verse afectadas, y mantiene bloqueados los detalles técnicos y el código de prueba de concepto hasta que la mayoría de los usuarios haya actualizado.
La actualización incluye nueve correcciones de seguridad, siete de ellas de severidad alta: además de la falla 0-day, se corrigieron un problema de recursos sin inicializar en WebGL (CVE-2026-125345), una autorización incorrecta en FileSystem (CVE-2026-125347), un desbordamiento de búfer en Compositing (CVE-2026-125343), una escritura fuera de límites en la GPU (CVE-2026-125348) y una confusión de tipos en V8 (CVE-2026-125344). También se resolvió un segundo use-after-free en el componente XML, el CVE-2026-125346, reportado por Arni Hardarson, de Neonix Security. Las dos correcciones restantes, de severidad media, corresponden a los CVE-2026-125349 y CVE-2026-125342.
El caso recuerda al zero-day de junio, en el que un error similar de use-after-free, también en el componente XML de Chrome, fue explotado por piratas informáticos con respaldo estatal. El lanzamiento de Chrome 157 ya había incluido la corrección de 213 problemas de seguridad, siete de ellos críticos.
Para aplicar la corrección basta con reiniciar el navegador: en el menú de Chrome, entra a Ayuda y luego a Acerca de Google Chrome para que se descargue la actualización y reinicia el navegador. Los usuarios de Linux también pueden actualizar desde el administrador de paquetes de su distribución. Los navegadores basados en Chromium deberán esperar a que su proveedor publique el parche correspondiente.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: Cyber Security News