Google ha publicado una actualización de seguridad urgente para Chrome en ordenadores. La nueva versión, Chrome 157, corrige nueve vulnerabilidades, y una de ellas ya se está aprovechando en ataques reales. La compañía lo resume en una frase de su aviso oficial: «Google es consciente de que existe un exploit para CVE-2026-125350 en circulación».
Es el octavo fallo de día cero de Chrome explotado activamente en lo que va de 2026, según el recuento de BleepingComputer y SecurityWeek. Para la mayoría de usuarios, la conclusión práctica es sencilla: conviene actualizar el navegador cuanto antes y reiniciarlo.
Qué es el fallo CVE-2026-125350
La vulnerabilidad, calificada de gravedad alta, es un error de tipo use-after-free (uso de memoria ya liberada) en el componente que procesa XML. Este tipo de fallo aparece cuando un programa libera un bloque de memoria pero sigue guardando una referencia a él. Si un atacante consigue colocar sus propios datos en ese hueco, puede corromper la memoria y, en el peor de los casos, ejecutar código malicioso dentro del proceso del navegador.
Según CyberInsider, el parche público de Chromium asociado al error apunta a libxslt, la biblioteca que transforma documentos XML mediante hojas de estilo XSLT. La descripción del parche habla de un problema en la caché de coincidencia de patrones: una evaluación XML anidada podía liberar y sustituir un objeto mientras otra operación anterior seguía usando su antigua dirección de memoria.
Quién lo descubrió y qué se sabe de los ataques
El aviso de Google indica que el fallo lo comunicó un investigador anónimo el 6 de noviembre de 2026, apenas tres días antes de la publicación del parche. Más allá de confirmar que el exploit existe, Google no ha explicado cómo se están produciendo los ataques, contra quién van dirigidos ni quién está detrás.
Ese silencio es habitual. En la propia nota de la versión, Google advierte de que puede mantener restringido el acceso a los detalles de los errores hasta que la mayoría de usuarios tengan la corrección, y también si el fallo está en una biblioteca de terceros de la que dependen otros proyectos que aún no lo han arreglado. SecurityWeek añade que la agencia estadounidense de ciberseguridad, CISA, todavía no lo había incluido en su catálogo de vulnerabilidades explotadas conocidas.
Otras ocho vulnerabilidades corregidas
La actualización no se limita al día cero. Chrome 157 corrige siete fallos de gravedad alta y dos de gravedad media. Entre los graves hay otro use-after-free en XML, una confusión de tipos en V8 (el motor de JavaScript), una escritura fuera de límites en la GPU, un desbordamiento de búfer en el módulo de composición, una autorización incorrecta en FileSystem y un recurso sin inicializar en WebGL. Los dos de gravedad media son recursos sin inicializar en la GPU.
La mayoría los detectó el propio equipo de seguridad de Google. Según la nota oficial, sus herramientas de detección habituales incluyen AddressSanitizer, MemorySanitizer y libFuzzer, entre otras.
Un año complicado para Chrome
Con este, Google ya ha tenido que parchear ocho fallos de Chrome explotados en ataques durante 2026. BleepingComputer repasa los anteriores: uno en febrero en el manejo de fuentes CSS, dos en marzo (en la biblioteca gráfica Skia y en V8), otro en abril en Dawn, la implementación de WebGPU, uno más en junio en V8 y dos en septiembre, también en el motor de JavaScript.
Que se acumulen tantos fallos explotados refleja el interés que despierta el navegador de Google entre los atacantes: cada nueva vulnerabilidad de este tipo obliga a sus usuarios a actualizar, y quien no lo hace sigue expuesto.
Cómo actualizar Chrome ahora
Las versiones corregidas son la 157.0.8103.50 o 157.0.8103.51 en Windows y macOS, y la 157.0.8103.50 en Linux. Google explica que el despliegue se hará a lo largo de los próximos días o semanas, pero BleepingComputer comprobó que la actualización ya estaba disponible de inmediato.
Para forzarla, abre el menú de los tres puntos, entra en Ayuda y después en «Información de Google Chrome». El navegador buscará la nueva versión, la descargará y pedirá reiniciarse; hasta que no lo hagas, la corrección no se aplica. Si prefieres no hacerlo a mano, Chrome instalará la actualización por su cuenta la próxima vez que se reinicie. Y si usas otro navegador basado en Chromium, conviene estar pendiente de sus propias actualizaciones en los próximos días.
