Google publicó el 9 de noviembre una actualización de emergencia de Chrome que corrige CVE-2026-125350, un fallo en el componente XML que ya se explota en ataques. Afecta a cualquier empresa cuyos empleados usen Chrome en Windows, macOS o Linux. Actualiza hoy a la versión 157.0.8103.50 o posterior y reinicia el navegador.
Lo esencial
- CVE-2026-125350 es un fallo de severidad alta de uso de memoria tras liberarla (use-after-free) en el componente XML de Chrome. Puede provocar corrupción de datos, cierres inesperados o ejecución de código arbitrario (Chrome Releases).
- Google dice estar al tanto de que existe un exploit en circulación. Un investigador anónimo le comunicó el fallo el 6 de noviembre.
- Versiones corregidas: 157.0.8103.50/.51 para Windows y macOS, y 157.0.8103.50 para Linux. El despliegue es gradual durante los próximos días (BleepingComputer).
- La actualización corrige nueve vulnerabilidades: además del día cero, seis de severidad alta (WebGL, FileSystem, Compositing, GPU, V8 y XML) y dos de severidad media en la GPU (SecurityWeek).
- Es el octavo día cero de Chrome explotado en 2026. The Hacker News indica CVSS «N/A», y CISA aún no lo había incluido en su catálogo KEV cuando se publicó el aviso.
¿Me afecta si en la empresa usamos Chrome?
Sí, si tu plantilla usa Chrome en Windows, macOS o Linux y aún no tiene la versión 157.0.8103.50 o posterior. Un día cero ya explotado en el navegador puede aprovecharse con solo visitar una web o abrir contenido malicioso.
Google no ha dado detalles de los ataques ni de quién los realiza. Eso no rebaja el riesgo: solo significa que no sabes si tu sector está en el punto de mira. Para una empresa, el daño típico es el robo de sesiones y credenciales del correo, el ERP o la banca online desde un portátil comprometido.
¿Por qué no basta con esperar a que Chrome se actualice solo?
Porque Google despliega la versión corregida de forma gradual en los días siguientes, así que algunos equipos tardarán en recibirla. Y el parche no protege hasta que se reinicia el navegador, algo que mucha gente pospone. La buena noticia: BleepingComputer comprobó que la actualización estaba disponible de inmediato al buscarla a mano. Forzarla funciona.
El otro punto ciego son los equipos que nadie revisa: el Mac de diseño, el portátil Linux del equipo técnico o el ordenador con el que alguien teletrabaja desde casa.
Qué hacer hoy
- Pide a la plantilla, o a tu proveedor de IT, que abra Chrome > Ayuda > Información de Google Chrome y pulse Reiniciar cuando termine la descarga.
- Comprueba en la consola de gestión o en el inventario que todos los equipos están en la 157.0.8103.50 o posterior. No des por hecho que el despliegue automático ya ha llegado.
- Revisa los equipos con Chrome que suelen quedarse fuera: macOS, Linux y los de teletrabajo.
- Si usáis directivas de actualización diferidas, adelántalas esta semana.
- Mira también los navegadores basados en Chromium que uséis. Las fuentes consultadas solo confirman la corrección en Chrome, así que comprueba si cada fabricante ha publicado su actualización.
Qué significa para una pyme
Ocho días cero explotados en Chrome en lo que va de año. No es un hecho aislado, es el ritmo normal. La conclusión práctica para una empresa de 10 a 200 personas es que el navegador es hoy la puerta de entrada al correo, al ERP y al banco, y hay que gestionarlo como tal.
Eso no exige grandes inversiones. Exige saber cuántos equipos tienes, qué versión de Chrome llevan y quién se encarga de forzar el reinicio cuando sale un parche urgente. Si hoy no puedes responder a esas tres preguntas en diez minutos, ese es el problema de fondo, más allá de este CVE.
Tampoco esperes a que CISA lo meta en su catálogo KEV o a que aparezca una puntuación CVSS para actuar. El dato que importa ya está sobre la mesa: Google confirma que existe un exploit en circulación. Si quieres montar un inventario y una política de parches que no dependa de la memoria de nadie, puedes ver cómo lo abordamos en nuestro servicio de ciberseguridad.
Preguntas frecuentes
¿Basta con que Chrome se actualice automáticamente?
No del todo. El despliegue es gradual y el parche no protege hasta reiniciar el navegador. Fuerza la actualización desde Ayuda > Información de Google Chrome.
¿Afecta a otros navegadores basados en Chromium?
Las fuentes consultadas solo confirman la corrección en Chrome. Revisa si el fabricante de cada navegador que uséis ha publicado su propia actualización.
¿Se sabe quién está detrás de los ataques?
No. Google no ha dado detalles de los ataques ni de quién los realiza.
Fuentes
- Chrome Releases (Google) – Stable Channel Update for Desktop, 9 de noviembre de 2026
- BleepingComputer – Google patches eighth Chrome zero-day exploited in attacks this year
- The Hacker News – Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026
- SecurityWeek – Chrome Update Patches Exploited XML Zero-Day, Eighth This Year
