Google ha lanzado una actualización de emergencia para Chrome después de detectar que un atacante ya explota en la red una nueva vulnerabilidad de día cero. El fallo, registrado como CVE-2026-125350, afecta al componente XML del navegador y se suma a los otros siete zero-days que la compañía ha corregido a lo largo de 2026. Las versiones 157.0.8103.50 y .51 ya solucionan el problema en Windows, macOS y Linux.
El fallo corregido esta semana es un error de memoria de tipo use-after-free alojado en el analizador XML de Chrome, y Google lo ha confirmado en un aviso de seguridad publicado el lunes. La compañía reconoce que existe un exploit funcional circulando, aunque por ahora no ha dado más detalles sobre quién está detrás de los ataques ni a qué usuarios han afectado.
Así es el nuevo fallo zero-day de Chrome
CVE-2026-125350 es un error de tipo use-after-free (uso después de liberar) que se produce cuando el analizador XML de Chrome procesa datos, elimina un objeto de la memoria y, pese a ello, deja activo el puntero que apuntaba a ese objeto.
El resultado es que el navegador conserva una referencia a un espacio de memoria que ya no le pertenece. Si un atacante consigue que el navegador Chrome use o lea después esa memoria «liberada», puede manipular el diseño de la memoria del proceso y ejecutar código malicioso. Google clasifica el fallo como de severidad alta y, en su propio aviso, admite textualmente: «Google tiene constancia de que existe un exploit para CVE-2026-125350 en la red».
Este tipo de fallo de memoria es habitual en navegadores que, como Chrome, procesan continuamente contenido externo sin que el usuario intervenga: basta con que la víctima cargue una página o un documento con XML manipulado para que el exploit se active sin ninguna acción adicional por su parte.
Versiones que corrigen el fallo en el navegador
La corrección ya ha llegado al canal Stable Desktop, el que utiliza la mayoría de los usuarios domésticos y empresariales. Las versiones afectadas por el parche varían según el sistema operativo: Windows y macOS reciben las versiones 157.0.8103.50 y 157.0.8103.51, mientras que Linux pasa directamente a la 157.0.8103.50.
Google advierte de que el despliegue automático puede tardar días o incluso semanas en alcanzar a toda la base de usuarios, aunque la actualización ya estaba disponible para descarga manual cuando se publicó el aviso original. Para comprobar si vuestro Chrome ya está protegido, basta con abrir el menú de tres puntos, entrar en Ayuda y pulsar sobre Información de Google Chrome: si hay una versión pendiente, el propio navegador la descarga y la instala en cuanto lo reiniciáis.
El zero-day no viaja solo en esta actualización. Chrome 157 corrige en total nueve vulnerabilidades, de modo que, junto a CVE-2026-125350, Google ha tapado otros ocho fallos adicionales en esta misma versión. La compañía no ha detallado públicamente la gravedad ni el componente concreto de esos ocho fallos restantes, más allá de confirmar que forman parte del mismo paquete de parches: lo relevante para quien usa el navegador es que actualizar a la versión 157.0.8103.50 (o .51 en Windows y macOS) cierra de golpe todo el lote, no solo el fallo explotado activamente.
Por qué Google mantiene en secreto los detalles del ataque
Como ocurre con la mayoría de zero-days activamente explotados, Google ha optado por no revelar quién está detrás de los ataques ni qué objetivos concretos han sufrido la intrusión. La compañía justifica esta opacidad como una medida de contención mientras el parche todavía no ha llegado a todos los usuarios.
En su propio aviso, Google lo explica así: «El acceso a los detalles del fallo y a los enlaces relacionados podría mantenerse restringido hasta que la mayoría de los usuarios haya actualizado con la corrección. También mantendremos las restricciones si el error existe en una biblioteca de terceros de la que dependen otros proyectos de forma similar, pero que aún no la han corregido». Esta práctica es habitual en la industria cuando el fallo todavía circula sin parche universal, ya que publicar el código de explotación facilitaría que otros atacantes lo replicaran antes de que la mayoría de los usuarios actualice.
Los ocho zero-days que Chrome ha corregido en 2026
CVE-2026-125350 no llega solo: es el octavo fallo de día cero que Google ha tenido que tapar este año tras confirmar explotación activa. El recorrido por los siete anteriores muestra que el motor V8 ha sido, con diferencia, el componente más castigado:
- Febrero: CVE-2026-2441, un error de invalidación de iterador en CSSFontFeatureValuesMap, la implementación de Chrome para las características de fuentes CSS.
- Marzo: CVE-2026-3909, una escritura fuera de límites en la biblioteca gráfica Skia.
- Marzo: CVE-2026-3910, una implementación inadecuada en el motor V8 de JavaScript y WebAssembly.
- Abril: CVE-2026-5281, un use-after-free en Dawn, la implementación multiplataforma del estándar WebGPU que usa el proyecto Chromium.
- Junio: CVE-2026-11645, una lectura y escritura fuera de límites en el motor V8.
- Septiembre: CVE-2026-87491, otra escritura fuera de límites en V8.
- Septiembre: CVE-2026-85046, un fallo de confusión de tipos, también en V8.
El historial no es nuevo: en 2025 Google ya tuvo que corregir otros ocho zero-days explotados en ataques, muchos de ellos detectados por su propio Threat Analysis Group (TAG), el equipo que rastrea exploits de día cero utilizados en campañas de spyware.
Qué deben hacer los usuarios para protegerse
La recomendación es sencilla: comprobar la versión instalada y reiniciar el navegador en cuanto se detecte la actualización pendiente. En equipos domésticos, el propio Chrome suele descargarla en segundo plano y solo falta cerrarlo y volver a abrirlo para que se aplique.
En entornos corporativos conviene revisar que las políticas de actualización centralizada no estén retrasando el despliegue de la versión 157, dado que ya existe un exploit en circulación para CVE-2026-125350. Google mantendrá restringido el acceso a los detalles técnicos del fallo hasta que la mayoría de los usuarios haya instalado la corrección, y prolongará esa reserva si el componente defectuoso resulta compartido con alguna biblioteca de terceros todavía sin parchear.
Quien quiera forzar la comprobación sin esperar al aviso automático puede teclear chrome://settings/help directamente en la barra de direcciones: Chrome buscará la actualización en ese mismo instante y, si la encuentra, bastará con pulsar en Reiniciar para aplicarla de inmediato.