Vulnerabilidad · alta · CVSS 8.8
Google corrige un fallo de Chrome ya explotado en su componente XML
Nivel A · Parchea hoy – Antes de terminar la jornada
Quién está expuesto: Usuarios de Chrome en Windows, Mac y Linux
Nivel A porque: Infraestructura básica o herramienta popular Y se está explotando
Alcance
Ataque
Daño
Corrección
Herramienta popular · Se está explotando · Compromiso total
Qué hacer
- Actualizar Chrome a la versión corregida, por ejemplo 157.0.8103.50/.51 para Windows
Lo esencial
- El 9 de noviembre de 2026, Google publicó una actualización de seguridad para el canal Stable de Chrome en Windows, Mac y Linux.
- La vulnerabilidad CVE-2026-125350, que afecta al componente XML del navegador, ya está siendo explotada por un atacante según las fuentes.
- SoftZone indica que es el octavo zero-day de Chrome en 2026.
Por qué importa
Un fallo explotado activamente en Chrome pone en riesgo a los desarrolladores y a sus equipos de trabajo, por lo que conviene actualizar el navegador cuanto antes.
La checklist detrás del nivel
Checklist · 4 de 10 con sí
| Sí | Afecta a equipos técnicos | Chrome es un navegador que usan desarrolladores y equipos de TI en Windows, macOS y Linux. |
| No | Infraestructura básica | Es un producto de un solo fabricante, no software de infraestructura básica que operen casi todos los equipos. |
| Sí | Herramienta popular | Chrome es uno de los navegadores más usados del mundo, según el contexto general del producto. |
| Sí | Se está explotando | CISA SSVCCISA califica la explotación de CVE-2026-125350 como activa |
| No | Exploit público | Las fuentes solo mencionan la actualización y el aviso de seguridad; no describen código de explotación publicado. |
| No | En remoto, sin credenciales | CVSSCVSS: CVE-2026-125350 AV:N/PR:N/UI:R |
| Sí | Compromiso total | CVSSCVE-2026-125350: CVSS califica como alto el impacto en confidencialidad e integridad |
| No | Secretos expuestos | Las fuentes no informan de robo de credenciales, datos de usuarios ni código fuente. |
| No | Cadena de suministro | Se trata de una vulnerabilidad en el navegador, no de código malicioso distribuido por un canal de desarrollo. |
| No | Aún sin corrección | Malwarebytes: Google publicó el 9 de noviembre una actualización de seguridad para Chrome Stable. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-125350 ↗CVSS 8.8 high AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Use after free in XML in Google Chrome prior to 157.0.8103.50 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High)
- Explotado
- CISA califica la explotación como activa
- EPSS
- <1% de probabilidad de explotación en los próximos 30 días · más alta que el 62% de todos los CVE
- Debilidad
- CWE-416
Cronología
Google publica una actualización de seguridad para el canal Stable de Chrome
Malwarebytes
Update Chrome now to fix a flaw attackers are exploiting
SoftZone - Web de software de Windows y Linux - Noticias, tutoriales, guías, consejos y trucos
Google corrige la octava vulnerabilidad zero-day de Chrome en 2026: actualiza YA
WWWhat's new
Google corrige un fallo de Chrome que ya se está explotando: actualiza el navegador ya
Cobertura completa · 3 fuentes
- hace 2 h ↗
- hace 2 días ↗
SoftZone - Web de software de Windows y Linux - Noticias, tutoriales, guías, consejos y trucos
Google corrige la octava vulnerabilidad zero-day de Chrome en 2026: actualiza YA - hace 2 días ↗
Visto por primera vez · 3 fuentes · La noticia completa · Cómo se deciden los niveles