CVE-2026-125350: Zero-Day de XML en Chrome Se Explota en la Naturaleza

Google ha lanzado una actualización de seguridad de emergencia que aborda CVE-2026-125350, una vulnerabilidad de día cero de alta gravedad en el componente XML de Google Chrome que ya está siendo explotada en ataques reales. El problema está clasificado como un fallo de seguridad de memoria de uso después de liberación y fue reportado anónimamente a Google el 6 de noviembre de 2026.

Google confirmó el 9 de noviembre que un exploit para la vulnerabilidad existe en el entorno. Sin embargo, la compañía no ha revelado cómo los atacantes están entregando el exploit, qué organizaciones o individuos están siendo atacados, o si la vulnerabilidad se está combinando con fallos adicionales de salida del navegador o de escape de sandbox. El acceso al error subyacente de Chromium permanece restringido mientras los usuarios implementan la actualización de seguridad.

La solución está incluida en Chrome Stable 157.0.8103.50/.51 para Windows y macOS y 157.0.8103.50 para Linux. Google también lanzó Extended Stable 156.0.8078.96 para Windows y macOS con una solución para la misma vulnerabilidad.

Contactar Ventas

CVE-2026-125350 es el octavo día cero de Chrome conocido por haber sido explotado en 2026, después de CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 y CVE-2026-87491. A partir del 10 de noviembre, SecurityWeek informa que CISA aún no ha agregado la falla recién divulgada a su catálogo de Vulnerabilidades Explotadas Conocidas.

Las vulnerabilidades de uso después de liberación ocurren cuando el software sigue referenciando la memoria después de que esa memoria ha sido liberada. Dependiendo del código afectado y la técnica de explotación, tal corrupción de memoria puede potencialmente resultar en bloqueos del navegador, corrupción de datos o ejecución de código controlado por el atacante. Google no ha divulgado el impacto exacto alcanzado en los ataques observados, por lo que los defensores deben evitar asumir que ya existe una cadena de compromiso completo del sistema documentada públicamente.

Los equipos de seguridad pueden utilizar la Plataforma de Inteligencia de Detección AI-Native de SOC Prime para fortalecer la cobertura de detección contra la explotación de navegadores, procesos secundarios sospechosos, ejecución de cargas útiles y comportamiento del atacante posterior en entornos SIEM, EDR, XDR y Data Lake.

Detectar CVE-2026-125350 combinando el inventario de versiones del navegador con telemetría de endpoint y red, monitoreando procesos sospechosos lanzados por Chrome, bloqueos anormales del navegador, descargas inesperadas de cargas útiles y comportamiento posterior a la explotación que ocurre después de visitar sitios web potencialmente maliciosos.

El contenido de detección puede no estar disponible para cada CVE. Verifique la Plataforma SOC Prime para la cobertura actual. Si las detecciones relevantes aún no están disponibles, vuelva a verificar ya que continuamente se agregan nueva inteligencia de amenazas y contenido de detección.

Análisis de CVE-2026-125350

CVE-2026-125350 afecta versiones vulnerables de Google Chrome que contienen la condición de uso después de liberación en el componente XML del navegador. Google califica la vulnerabilidad como de alta gravedad pero no ha publicado un puntaje CVSS o vector en su aviso del 9 de noviembre.

Un uso después de liberación ocurre cuando la memoria es liberada pero luego el software intenta acceder a la misma ubicación de memoria. Si un atacante puede influenciar los contenidos colocados posteriormente en esa memoria, la referencia persistente puede potencialmente ser manipulada para alterar el comportamiento del programa.

En un navegador web, las vulnerabilidades de seguridad de memoria son particularmente importantes porque el contenido controlado por el atacante se procesa rutinariamente por componentes complejos del navegador. Sin embargo, Google aún no ha divulgado el objeto XML exacto involucrado, la secuencia necesaria para activar el error, o el contenido web específico utilizado por los atacantes.

El problema de Chromium asociado con la vulnerabilidad está actualmente restringido. Google rutinariamente limita el acceso a detalles técnicos del error hasta que la mayoría de los usuarios hayan recibido el parche, y las restricciones pueden permanecer por más tiempo cuando un defecto también existe en software de terceros.

Como resultado, varios detalles técnicos importantes permanecen desconocidos. Las fuentes disponibles no establecen si la explotación requiere simplemente visitar una página maliciosa, abrir contenido XML especialmente diseñado, interactuar con una página u otro mecanismo de entrega. Tampoco confirman si los atacantes están logrando la ejecución de código dentro de un renderizador de Chrome, escapando del sandbox del navegador o combinando la vulnerabilidad con otro defecto.

The Hacker News señala que los errores de uso después de liberación pueden potencialmente llevar a corrupción de datos, bloqueos o ejecución arbitraria de código. Esto describe el impacto general de seguridad de esta clase de vulnerabilidades, en lugar de una descripción confirmada por Google de la cadena de explotación exacta utilizada contra CVE-2026-125350.

No obstante, la declaración de Google es significativa porque la compañía confirma explícitamente que un exploit existe en el entorno. Esto significa que la vulnerabilidad debe ser tratada como una prioridad de parcheo inmediato, incluso cuando la información técnica sobre los ataques sigue siendo limitada.

La vulnerabilidad fue reportada anónimamente a Google el 6 de noviembre de 2026. Solo tres días después, el 9 de noviembre, Google lanzó versiones parcheadas de Stable para Windows, macOS y Linux y reconoció la explotación activa.

La actualización que contiene la corrección de día cero aborda nueve problemas de seguridad en total. Otros fallos de alta gravedad incluyen un problema de recurso no inicializado en WebGL, autorización incorrecta en FileSystem, un desbordamiento de buffer en Compositing, una escritura fuera de los límites en GPU, una confusión de tipos en V8, y otro problema de uso después de liberación en XML, rastreado como CVE-2026-125346. También se parchearon dos vulnerabilidades de gravedad media en GPU.

La presencia de CVE-2026-125346 en la misma versión es digno de distinguir del exploit aún activo. Ambos problemas involucran condiciones de uso después de liberación en la funcionalidad XML de Chrome, pero Google solo ha declarado que CVE-2026-125350 está siendo explotado en el entorno.

Google lanzó las siguientes versiones de Stable parcheadas:

Los usuarios de Extended Stable en Windows y macOS deben pasar a la versión 156.0.8078.96 o posterior.

Debido a que las actualizaciones de Chrome se implementan progresivamente, un navegador instalado puede no recibir inmediatamente la versión parcheada. Por lo tanto, los usuarios y administradores deben verificar la compilación real en ejecución en lugar de asumir que las actualizaciones automáticas ya han resuelto el problema.

La situación de PoC de CVE-2026-125350 también requiere precaución. Google confirma que los atacantes poseen un exploit funcional, pero ni Google ni los dos informes suministrados identifican un proof-of-concept publicado que reproduzca el exploit. Los detalles del error de Chromium permanecen restringidos, lo que limita la capacidad de los defensores para reproducir la vulnerabilidad o identificar artefactos específicos del exploit.

Para la detección de CVE-2026-125350, las organizaciones deben comenzar con la gestión de la exposición. Los equipos de seguridad deben inventariar las versiones de Chrome en todos los endpoints e identificar sistemas que ejecuten versiones más antiguas que las versiones corregidas. Los servidores con acceso directo a Internet no son la principal preocupación aquí; las estaciones de trabajo de empleados y otros sistemas utilizados para la navegación web merecen atención inmediata.

La telemetría de endpoint puede proporcionar oportunidades adicionales de búsqueda. Los defensores deben investigar procesos inusuales originados desde Chrome, particularmente intérpretes de comandos, motores de secuencias de comandos, utilidades del sistema, o ejecutables recién descargados que aparezcan inmediatamente después de la actividad del navegador.

El comportamiento sospechoso puede incluir la ejecución inesperada de PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe, u otras utilidades de un árbol de procesos relacionado con Chrome. Tal actividad no es específica de esta vulnerabilidad y no debe ser tratada por sí sola como prueba de explotación, pero puede proporcionar una señal de comportamiento útil cuando se combina con versiones del navegador vulnerables y actividad de navegación sospechosa.

Los equipos de seguridad también deben examinar la telemetría de los endpoints en busca de bloqueos inusuales de Chrome o fallas del renderizador seguidas por la ejecución de nuevos procesos, creación de archivos, acceso a credenciales, persistencia, o conexiones de red. Los bloqueos de navegador son comunes y por lo tanto requieren correlación con otra evidencia.

El proxy web, DNS, puerta de enlace web segura y la telemetría del navegador en el endpoint pueden ayudar a reconstruir la actividad del usuario inmediatamente antes de la ejecución sospechosa. Las organizaciones deben preservar el historial de navegación relevante y los registros de red si se sospecha de explotación, particularmente porque Google no ha publicado información sobre los sitios web o la infraestructura utilizada en los ataques observados.

Actualmente no hay IOC de CVE-2026-125350 publicados por proveedores, como dominios maliciosos, direcciones IP, hashes de carga útil o infraestructura del atacante. Google tampoco ha revelado a los actores de amenaza responsables, las organizaciones afectadas, el alcance de la campaña o el objetivo geográfico.

La falta de indicadores estáticos hace que la monitorización basada en comportamiento y la gestión rápida de versiones del navegador sean especialmente importantes. Una búsqueda basada exclusivamente en hashes o dominios conocidos no puede determinar de manera confiable si un entorno ha encontrado una explotación cuando la infraestructura de ataque pública sigue siendo desconocida.

Las organizaciones que usan navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, deben monitorear sus respectivos avisos de proveedores e implementar actualizaciones de seguridad relevantes a medida que estén disponibles. The Hacker News recomienda específicamente que los usuarios de estos navegadores apliquen las correcciones cuando sus proveedores las liberen.

Mitigación de CVE-2026-125350

La principal remediación es actualizar Google Chrome de inmediato a una versión corregida y reiniciar el navegador para que se ejecute la versión corregida.

Google ha lanzado:

• Chrome 157.0.8103.50/.51 para Windows
• Chrome 157.0.8103.50/.51 para macOS
• Chrome 157.0.8103.50 para Linux
• Chrome Extended Stable 156.0.8078.96 para Windows y macOS

Chrome normalmente descarga actualizaciones automáticamente, pero los usuarios deben relanzar el navegador para que la compilación actualizada reemplace el proceso en ejecución vulnerable. The Hacker News recomienda abrir Más → Ayuda → Acerca de Google Chrome y relanzar después de que se instale la actualización.

Los equipos de seguridad empresarial deben tomar las siguientes acciones:

1. Inventariar las versiones de Chrome en los endpoints gestionados.
2. Priorizar los sistemas que aún ejecutan versiones anteriores a los builds corregidos de Stable o Extended Stable.
3. Forzar o acelerar las actualizaciones de Chrome a través de herramientas de gestión de navegadores empresariales.
4. Verificar que los navegadores realmente se hayan reiniciado después de recibir el parche.
5. Monitorear endpoints que no puedan ser actualizados inmediatamente en busca de procesos sospechosos originados del navegador.
6. Restringir el acceso a infraestructuras web maliciosas o recién registradas a través de controles de seguridad web existentes.
7. Revisar la telemetría de seguridad en busca de actividad sospechosa en Chrome que ocurrió antes del despliegue del parche.
8. Monitorear los avisos de los proveedores para navegadores basados en Chromium y actualizar esos productos cuando haya correcciones disponibles.

Debido a que la explotación ya ha ocurrido, el parcheo no debería ser la única respuesta para los sistemas que pueden haber estado expuestos. Los administradores deberían considerar revisar la actividad reciente de los endpoints vulnerables, especialmente donde las herramientas de seguridad registraron bloqueos inusuales de Chrome, ejecución de comandos generados por el navegador, descargas sospechosas, o conexiones a infraestructuras no confiables.

Si se descubre actividad sospechosa, aísle el endpoint afectado y preserve la telemetría del navegador, EDR, DNS, proxy y red antes de la remediación. Los investigadores deben reconstruir la actividad del navegador anterior al evento y determinar si ocurrieron cargas útiles posteriores, robo de credenciales, persistencia, o movimiento lateral.

Las organizaciones también deben verificar si el navegador estaba ejecutándose bajo una cuenta con acceso a sesiones web sensibles, aplicaciones empresariales, consolas en la nube o credenciales privilegiadas. Dependiendo de la evidencia de compromiso, la revocación de sesiones y la rotación de credenciales pueden ser apropiadas.

La divulgación restringida de Google significa que los defensores actualmente no tienen suficiente información pública para construir una firma para el exploit real. Esto refuerza la importancia de la gestión de parches y la detección de explotación genérica en lugar de esperar una firma confiable de red o archivo.