La compañía de Mountain View ha lanzado una actualización de emergencia destinada a corregir una vulnerabilidad de día cero (zero-day) que ya está siendo utilizada en ataques reales a través de la red. Este nuevo fallo, catalogado oficialmente bajo el identificador CVE-2026-125350, representa la octava brecha de seguridad con explotación activa que la tecnológica se ve obligada a neutralizar en lo que va de año, elevando la presión sobre los equipos de desarrollo de navegadores basados en Chromium.
La nueva compilación parchea este vector de ataque y sella otros ocho fallos adicionales, situando el número de versión en la rama 157.0.8103.50 para Linux y extendiéndose a las compilaciones .50 y .51 en los entornos de Windows y macOS.
-La anatomía del fallo CVE-2026-125350 en el analizador XML de Chrome
El núcleo del problema reside en el subsistema encargado de procesar archivos y estructuras de datos basados en el lenguaje XML dentro del navegador. Técnicamente, la vulnerabilidad corresponde a un error de gestión de memoria del tipo use-after-free (uso después de liberar).
Este defecto operativo se manifiesta de la siguiente manera:
- Asignación inicial: El analizador XML procesa datos externos y reserva un espacio en la memoria RAM para albergar un objeto determinado.
- Liberación prematura: Durante la ejecución, el objeto es eliminado de la memoria de forma lógica, pero el puntero que indicaba su dirección física no se anula y continúa apuntando a esa misma ubicación.
- Inyección de código: Si un archivo o página web maliciosa consigue que el navegador lea o manipule esa dirección de memoria ya liberada, el atacante puede alterar el flujo de procesos y ejecutar código arbitrario con los privilegios de la aplicación.
La peligrosidad de este tipo de breGoogle lanza un parche de emergencia para Chrome tras detectar el octavo fallo de día cero explotado activamente en 2026
La seguridad en los navegadores web vuelve a situarse en el centro de la actualidad técnica. Google ha liberado una actualización de emergencia destinada a su navegador Chrome para neutralizar una vulnerabilidad de día cero (zero-day) que ya está siendo utilizada en ataques reales dentro de la red. El fallo, registrado formalmente bajo el identificador CVE-2026-125350, localiza su origen en el componente encargado de procesar documentos XML y eleva a ocho la cifra total de brechas críticas con explotación activa que la compañía ha tenido que corregir a lo largo de este año.
Las nuevas compilaciones que integran el paquete de seguridad ya se encuentran disponibles para los sistemas operativos Windows, macOS y Linux, instando a los usuarios a actualizar sus equipos para evitar cualquier riesgo de compromiso en el sistema.
-La arquitectura del fallo CVE-2026-125350: un error de memoria en el analizador XML
El vector de ataque detectado se fundamenta en un defecto clásico de gestión de memoria conocido como use-after-free (uso después de liberar). Este tipo de anomalía ocurre cuando el analizador XML del navegador procesa una estructura de datos, elimina un objeto específico de la memoria pero mantiene activo el puntero que apuntaba hacia él, dejando una referencia huérfana hacia un espacio que ya no le pertenece.
Si un ciberdelincuente consigue que el navegador procese una página web o un documento manipulado con sintaxis XML maliciosa, el código puede forzar al sistema a interactuar con esa posición de memoria liberada, manipulando el flujo de ejecución del proceso para inyectar y ejecutar instrucciones arbitrarias. La peligrosidad de este tipo de vulnerabilidades radica en que no exigen ningún tipo de interacción compleja por parte de la víctima: basta con cargar el contenido en la pestaña para que el exploit despliegue su actividad en segundo plano.
Ante la evidencia de la amenaza, la propia compañía emitió una confirmación explícita en su boletín oficial:
«Google tiene constancia de que existe un exploit para CVE-2026-125350 en la red.» — Boletín de seguridad, Google.
-Despliegue de las versiones estables y el paquete acumulativo de correcciones
El parche de emergencia se distribuye a través del canal estable del navegador, alcanzando las versiones 157.0.8103.50 y 157.0.8103.51 en equipos con Windows y macOS, mientras que la plataforma Linux recibe de forma directa la compilación 157.0.8103.50.
Aunque los sistemas de actualización automática de Google ejecutan el despliegue de manera escalonada a lo largo de varios días, los usuarios pueden forzar la comprobación inmediata introduciendo la ruta chrome://settings/help en la barra de direcciones del navegador. Al acceder a ese panel, Chrome auditará el servidor e iniciará la descarga del paquete, requiriendo únicamente un reinicio de la aplicación para aplicar los cambios.
Conviene destacar que este parche de emergencia no llega de forma aislada. La versión 157 de Chrome corrige un total de nueve vulnerabilidades de seguridad, agrupando junto al zero-day de XML otros ocho fallos adicionales de diversa consideración técnica que han sido cerrados en la misma compilación.
-La estrategia de opacidad informativa y el historial de zero-days acumulados en 2026
Como es norma habitual en la industria cuando un fallo de seguridad circula libremente con un exploit funcional en la red, Google ha optado por restringir la publicación de los detalles técnicos y los nombres de los colectivos atacantes. La compañía justifica esta medida de contención para evitar que actores maliciosos repliquen con mayor facilidad el vector de ataque antes de que la mayor parte del parque de navegadores global se encuentre actualizado. En su comunicado oficial, la firma detalla esta política:
«El acceso a los detalles del fallo y a los enlaces relacionados podría mantenerse restringido hasta que la mayoría de los usuarios haya actualizado con la corrección.» — Directrices de divulgación de vulnerabilidades, Google.
Esta incidencia consolida una tendencia preocupante en el desarrollo de navegadores. Con el caso de CVE-2026-125350, Google acumula ya ocho vulnerabilidades de día cero corregidas por explotación activa durante los primeros meses de 2026, un historial donde el motor de procesamiento JavaScript y WebAssembly (V8) continúa acumulando la mayor parte de los fallos críticos detectados tanto por analistas externos como por los equipos internos de rastreo de amenazas de la compañía.