Una explicación de una vulnerabilidad de Google Chrome que puede activarse al abrir una página web manipulada. Cubre qué ocurre, las versiones afectadas y corregidas y qué deben hacer los particulares y los administradores, desde el lado de la defensa y sin pasos de ataque.
- CVE
- CVE-2026-125350 (Chromium issue 582442907)
- Gravedad
- Gravedad High en Chromium. CVSS v3.1 8.8 (AV:N/AC:L/PR:N/UI:R; asignado por el ADP de CISA)
- Tipo
- Use-after-free en XML (CWE-416). Ejecución de código arbitrario dentro del sandbox
- Afectado
- Google Chrome anterior a 157.0.8103.50 (registro CVE). KEV dice que puede afectar a navegadores basados en Chromium como Edge y Opera
- Corrección
- Chrome Stable 157.0.8103.50 (Windows y Mac 157.0.8103.50/.51, Linux 157.0.8103.50)
- Fechas
- Entrada de Chrome Releases: 9 de noviembre de 2026. Registro CVE publicado el 10 de noviembre
- Explotación
- Google dice que tiene constancia de un exploit en circulación. Añadido a CISA KEV el 10 de noviembre (plazo: 24 de noviembre)
El riesgo de esperar
Este tipo de fallo puede dar a un atacante un punto de apoyo con solo ver una página. La ejecución de código dentro del sandbox no es una toma de control completa del dispositivo, pero los ataques a navegadores suelen usarla como primera fase encadenada con otros fallos. Si eso ocurrió con este CVE no puede confirmarse a partir de la información pública.
Qué es la vulnerabilidad
El registro CVE describe un use-after-free (uso de memoria después de liberarla) en el componente XML de Chrome anterior a 157.0.8103.50. Un atacante remoto podría ejecutar código arbitrario dentro del sandbox mediante una página HTML manipulada. En las notas de la versión de Google la gravedad es High, quien lo notificó es anónimo y la fecha del informe es el 6 de noviembre de 2026.
- El usuario tiene que abrir la página manipulada (UI:R en el vector CVSS).
- Ni Google ni este sitio publican pasos de ataque ni código.
- Google señala que los detalles del error pueden seguir restringidos hasta que la mayoría de los usuarios haya actualizado.
La misma actualización corrige también otro use-after-free en XML (CVE-2026-125346), pero Google mencionó un exploit activo solo para CVE-2026-125350. En total, la actualización incluye 9 correcciones de seguridad.
Quién está afectado
| Elemento | Detalle |
|---|---|
| Producto | Google Chrome (escritorio) |
| Versiones afectadas | Anteriores a 157.0.8103.50 (registro CVE) |
| Corrección (Stable) | Windows y Mac: 157.0.8103.50/.51. Linux: 157.0.8103.50 |
| Otros navegadores basados en Chromium | KEV dice que Edge, Opera y otros pueden estar afectados. Cada proveedor publica su propia corrección |
| Microsoft Edge | En el momento de la comprobación, las notas de seguridad de Microsoft no listaban una versión que incluyera este CVE, así que no se pudo confirmar ningún número de versión. Un aviso del 9 de noviembre dice que Microsoft tiene constancia de exploits activos y prepara una corrección (no se nombra ningún CVE) |
| Solución provisional | Ninguna indicada. La actualización es el remedio |
- Google dice que el despliegue lleva de días a semanas. No hace falta esperar a que le llegue; puede comprobarlo manualmente.
- La entrada de escritorio Stable no cubre Android ni iOS. Si los usa, busque actualizaciones en la tienda.
Cómo comprobar si está afectado
Compruebe la versión de Chrome
Abra chrome://settings/help (menú, Ayuda, Acerca de Google Chrome). Por debajo de 157.0.8103.50 significa afectado. Abrir esta página también inicia la búsqueda y la descarga de la actualización.
Vea si hay un reinicio pendiente
Una vez descargada la actualización, aparece un botón Reiniciar. La corrección no está activa hasta que reinicie. Los equipos que llevan días encendidos con muchas pestañas abiertas son los que hay que vigilar.
Compruebe otros navegadores
Si usa Edge, Opera u otro navegador basado en Chromium, compruebe la actualización desde su página Acerca de. La versión corregida de cada proveedor llega por separado y no se pudo confirmar ninguna en el momento de escribir esto (lista de comprobación del inventario de activos).
Qué hacer hoy
Actualice Chrome y reinicie (máxima prioridad)
Abra Acerca de Chrome para obtener la actualización y pulse Reiniciar. Antes, guarde el trabajo de las pestañas y formularios abiertos. Tras el reinicio, compruebe de nuevo la versión: debe ser 157.0.8103.50 o posterior.
Actualice Edge, Opera y otros navegadores basados en Chromium
Compruebe las actualizaciones de cada navegador e instale la más reciente. Mientras no haya una corrección disponible, la sugerencia propia de este sitio es evitar sitios no fiables y quitar las extensiones innecesarias para reducir la exposición. Eso no sustituye a actualizar.
(Administradores) Liste las versiones de su flota
Use la consola de administración o su herramienta de inventario para encontrar los dispositivos con Chrome anterior a 157.0.8103.50. Los trabajadores remotos y los equipos que rara vez se reinician son los más propensos a quedarse atrás.
(Administradores) Fuerce la actualización y el reinicio
Compruebe si hay directivas que bloqueen las actualizaciones o fijen una versión, y quítelas. Chrome tiene directivas de aviso de reinicio (como RelaunchNotification) que puede configurar con una fecha límite. El plazo de KEV es el 24 de noviembre. El proceso se describe en La guía de corrección de vulnerabilidades.
Después, busque comportamientos inusuales
Para el periodo anterior a la actualización, busque extensiones que no reconozca, cambios en la página de inicio o el buscador y accesos inusuales a las contraseñas guardadas. Si encuentra algo, considere rotar las contraseñas y aislar el dispositivo.
Estado de la explotación
- Las notas de la versión de Google dicen que tiene constancia de que existe un exploit para CVE-2026-125350 en circulación.
- CISA lo añadió a KEV el 10 de noviembre de 2026 con un plazo del 24 de noviembre (versión de KEV 2026.11.10). El uso en ransomware figura como Desconocido y el triaje forense como No.
- El registro CVE incluye la valoración de CISA (explotación activa, no automatizable, impacto técnico total).
- No se pudo confirmar información pública sobre la escala, los métodos ni los atacantes. Cuántos fallos de Chrome explotados activamente suma este en lo que va de año no lo indican las notas de Google y este sitio no lo verificó, así que no se afirma aquí.
La visión de este sitio: confirme que está reiniciado, no solo actualizado
Un navegador sigue ejecutando el proceso antiguo después de descargar una actualización hasta que se reinicia. En los dispositivos gestionados, la entrega de la actualización y el reinicio del usuario se siguen por separado. Medir según «la versión en ejecución es 157.0.8103.50 o posterior» reduce los fallos (Priorizar con CVSS, EPSS y KEV).
Fuentes
- Google — Stable Channel Update for Desktop (Chrome Releases, 9 de noviembre de 2026; versiones corregidas y la declaración de explotación activa)
- CVE.org — CVE-2026-125350 (publicado el 10 de noviembre de 2026; incluye la inclusión por CISA)
- NVD — CVE-2026-125350
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 10 de noviembre, plazo el 24 de noviembre)
- Microsoft — Microsoft Edge Security Release Notes (usadas para comprobar si hay una corrección de Edge)
Última verificación: 11 de noviembre de 2026.
Lee a continuación
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Decidir: Priorizar con CVSS, EPSS y KEV
- Términos: ¿Qué es un CVE? / ¿Qué es CVSS?