La compañía ha publicado una actualización para corregir nueve vulnerabilidades de seguridad, incluida una falla de día cero que los atacantes ya están aprovechando. Los usuarios deben actualizar el navegador cuanto antes para reducir el riesgo.
Google ha lanzado una nueva actualización de seguridad para Chrome después de confirmar que una de las vulnerabilidades corregidas está siendo explotada en ataques reales. El fallo, identificado como CVE-2026-125350, afecta al componente XML del navegador y está clasificado como de gravedad alta.
La advertencia llega en un momento especialmente delicado para la seguridad informática: se trata de la octava vulnerabilidad de día cero de Chrome explotada activamente en 2026, según el recuento publicado por The Hacker News. La compañía ha corregido nueve fallos en esta última actualización, aunque no ha desvelado quién está detrás de los ataques ni qué objetivos están siendo seleccionados.
La recomendación para los usuarios es clara: comprobar la versión instalada y reiniciar Chrome para aplicar el parche. No es una actualización menor de rendimiento, sino una corrección destinada a cerrar una brecha que ya está siendo utilizada.
CVE-2026-125350: qué se sabe del nuevo fallo de Chrome
La vulnerabilidad CVE-2026-125350 es un error de tipo use-after-free, conocido en español como uso de memoria después de su liberación. Se encuentra en el componente XML de Chrome y ha sido catalogado por Google con una gravedad alta.
Este tipo de fallo se produce cuando un programa intenta utilizar una zona de memoria después de que el sistema ya la haya liberado. Si un atacante consigue aprovechar ese comportamiento, puede provocar corrupción de datos, bloqueos del navegador e incluso, en determinadas circunstancias, ejecutar código arbitrario.
En otras palabras, no se trata simplemente de un error que pueda cerrar una pestaña. Una vulnerabilidad de memoria de esta naturaleza puede convertirse en una vía de entrada para comprometer la seguridad del dispositivo, dependiendo de las condiciones de explotación y de las protecciones que tenga activadas el sistema.
El fallo fue descubierto y comunicado a Google el 6 de noviembre de 2026 por un investigador de seguridad anónimo. La empresa ha reconocido expresamente que existe un exploit para esta vulnerabilidad y que está siendo utilizado en ataques reales.
Sin embargo, Google no ha publicado detalles técnicos sobre el método empleado por los atacantes, las víctimas potenciales o el alcance de las campañas. La compañía mantiene restringida parte de la información para evitar que otros actores puedan aprovecharla antes de que la mayoría de los usuarios instalen la corrección.
Ocho vulnerabilidades de día cero explotadas en Chrome durante 2026
El nuevo fallo eleva a ocho las vulnerabilidades de día cero de Chrome con explotación activa identificadas durante 2026, según el recuento de The Hacker News.
Una vulnerabilidad de día cero es un fallo de seguridad que está siendo aprovechado antes de que exista una solución ampliamente instalada o disponible para proteger a los usuarios. El término no significa necesariamente que Google desconociera el problema, sino que los atacantes han conseguido utilizarlo en condiciones reales antes de que la corrección llegue a todos los equipos afectados.
La lista de vulnerabilidades de día cero explotadas activamente en Chrome durante este año incluye:
- CVE-2026-2441.
- CVE-2026-3909.
- CVE-2026-3910.
- CVE-2026-5281.
- CVE-2026-11645.
- CVE-2026-85046.
- CVE-2026-87491.
- CVE-2026-125350, la última identificada.
La sucesión de incidentes pone de manifiesto la presión constante a la que están sometidos los navegadores web. Chrome es una de las aplicaciones más utilizadas para acceder a servicios bancarios, plataformas de trabajo, redes sociales, herramientas empresariales y todo tipo de información personal.
Por eso, un fallo en sus componentes internos no debe considerarse un problema aislado. El navegador constituye una de las principales puertas de entrada a Internet y también una superficie de ataque especialmente atractiva para los ciberdelincuentes.
Google corrige nueve vulnerabilidades en una sola actualización
La actualización publicada el 9 de noviembre de 2026 no se limita a solucionar el fallo de día cero. Google ha incluido correcciones para un total de nueve vulnerabilidades de seguridad.
Entre los problemas detectados figuran errores en componentes fundamentales del navegador, como WebGL, FileSystem, Compositing, GPU, V8 y XML.
La lista oficial incluye seis vulnerabilidades de gravedad alta, además de dos clasificadas como de gravedad media. La novena es precisamente el fallo CVE-2026-125350, también catalogado como de gravedad alta y cuya explotación activa ha reconocido Google.
La compañía no ha facilitado una puntuación CVSS para esta última vulnerabilidad. Por tanto, no debe confundirse su clasificación de gravedad alta con una puntuación numérica que todavía no se ha publicado.
Google tampoco ha ofrecido información detallada sobre los ataques. Esta reserva forma parte de su política de divulgación coordinada: mantener determinados detalles técnicos restringidos mientras los usuarios reciben las actualizaciones y se reduce la posibilidad de que otros atacantes reproduzcan el exploit.
Qué versión de Chrome hay que instalar en Windows, Mac y Linux
Google ha distribuido las nuevas correcciones a través de Chrome 157. Las versiones indicadas para los ordenadores son las siguientes:
| Sistema operativo | Versión corregida |
|---|---|
| Windows | 157.0.8103.50/.51 |
| macOS | 157.0.8103.50/.51 |
| Linux | 157.0.8103.50 |
La actualización se está distribuyendo de forma progresiva y puede tardar en aparecer en todos los dispositivos. Google advierte de que el despliegue puede prolongarse durante los próximos días o semanas.
También existe una actualización para Chrome en Android, con la versión 157.0.8103.50. Google indica que esta edición incorpora las mismas correcciones de seguridad que las versiones correspondientes de escritorio, salvo que se especifique lo contrario. Su distribución se realiza a través de Google Play.
Cómo actualizar Google Chrome paso a paso
Los usuarios no necesitan conocimientos técnicos para comprobar si tienen instalada la versión corregida. El procedimiento es sencillo:
- Abre Google Chrome en el ordenador.
- Pulsa el menú de los tres puntos situado en la esquina superior derecha.
- Entra en Ayuda.
- Selecciona Información de Google Chrome o Acerca de Google Chrome.
- El navegador comprobará automáticamente si hay una actualización disponible.
- Si aparece una nueva versión, espera a que termine la instalación y pulsa Reiniciar.
El último paso es importante: descargar la actualización no siempre significa que las correcciones estén aplicadas. Es necesario reiniciar el navegador para completar el proceso.
En Android, conviene abrir Google Play, buscar Chrome y comprobar si aparece la opción de actualizar. En dispositivos Apple, los usuarios deben consultar la disponibilidad de la nueva versión en la tienda de aplicaciones correspondiente.
Si el navegador todavía no ofrece la actualización, es recomendable volver a comprobarlo más adelante, ya que Google está realizando un despliegue escalonado.
Microsoft Edge, Brave, Opera y Vivaldi también deben estar atentos
El problema no afecta exclusivamente a quienes utilizan Chrome. Otros navegadores están construidos sobre Chromium, el proyecto de código abierto en el que se basa el navegador de Google.
Entre ellos se encuentran Microsoft Edge, Brave, Opera y Vivaldi. Aunque cada compañía mantiene su propio calendario de actualizaciones y puede incorporar modificaciones adicionales, estos productos comparten buena parte de la base tecnológica de Chromium.
Por esa razón, sus fabricantes deben evaluar las vulnerabilidades y distribuir las correcciones correspondientes cuando estén disponibles.
Los usuarios no deben instalar versiones experimentales ni descargar supuestos parches desde páginas desconocidas. La opción más segura es utilizar los mecanismos oficiales de actualización de cada navegador y comprobar los avisos publicados por sus respectivos fabricantes.
La actualización no garantiza que un dispositivo comprometido esté limpio
Hay una diferencia importante entre corregir una vulnerabilidad y solucionar las consecuencias de un ataque que ya se haya producido.
Instalar el parche de Chrome reduce el riesgo de que un atacante aproveche el fallo conocido, pero no permite asegurar que un equipo previamente comprometido haya quedado limpio. Si existen indicios de actividad sospechosa, el usuario o el administrador del dispositivo deberá realizar comprobaciones adicionales.
Por ahora, Google no ha comunicado públicamente el alcance de los ataques relacionados con CVE-2026-125350, ni ha identificado a los responsables. Tampoco hay información suficiente para afirmar que se haya producido una campaña masiva contra usuarios particulares.
La prioridad inmediata es evitar que los dispositivos sigan expuestos a una vulnerabilidad que ya está siendo explotada. Actualizar Chrome y mantener al día los navegadores basados en Chromium es, en este momento, la medida más importante para reducir este riesgo de seguridad.
Chollones
Chollones
Chollones