Chrome corrige la CVE-2026-125350, que ya se usa en ataques: actualizá y reiniciá hoy
Google publicó el 9 de noviembre de 2026 una actualización de Chrome para computadoras que corrige nueve fallas de seguridad, y una de ellas, la CVE-2026-125350, ya tiene un exploit en circulación. Lo dice la nota oficial de la versión, en una línea: «Google is aware that an exploit for CVE-2026-125350 exists in the wild» (Google sabe que existe un exploit de la CVE-2026-125350 en circulación). La versión que la corrige es la 157.0.8103.50 o .51 en Windows y Mac, y la 157.0.8103.50 en Linux.
Qué hacer hoy, en un minuto: abrí Chrome, andá a Más (los tres puntos de arriba a la derecha) › Ayuda › Acerca de Google Chrome, dejá que busque y tocá Reiniciar. Si la versión que aparece empieza con 157.0.8103 y termina en .50, .51 o un número mayor, estás cubierto. Si termina en un número menor, todavía no. En un teléfono Android, actualizá Chrome desde Google Play.
Si usás Microsoft Edge, Brave u otro navegador hecho sobre Chromium, el arreglo depende de cada empresa, y no todas llegaron. Microsoft escribió el mismo 9 de noviembre que sabe de «exploits» en circulación y que trabaja en un arreglo, sin nombrar la CVE; cuando cerramos esta nota, la versión estable de Edge para computadoras seguía siendo una del 5 de noviembre. El detalle, navegador por navegador, va más abajo.
Qué corrigió Google y qué prefirió no contar
La actualización trae nueve correcciones: siete de gravedad alta y dos media. La que importa figura en la lista como «Use after free in XML»: un error de tipo use-after-free (uso de memoria ya liberada) en la parte de Chrome que procesa XML, un formato de texto estructurado que el navegador sabe leer. En criollo: el programa suelta un pedazo de memoria, se olvida de que lo soltó y lo vuelve a usar. Si alguien logra meter sus propios datos en ese hueco justo a tiempo, puede corromper lo que el navegador está haciendo y, en el peor caso, ejecutar código. BleepingComputer lo explica en esos términos y la califica como una falla de corrupción de memoria de gravedad alta.
Según la misma nota de Google, la falla la reportó el 6 de noviembre alguien que figura como anónimo. Entre ese reporte y el parche publicado pasaron tres días.
Lo que Google no dice es casi todo lo demás: quién la usa, contra quién, desde cuándo ni cómo se entrega el ataque. La nota repite la cláusula de siempre: «Access to bug details and links may be kept restricted until a majority of users are updated with a fix» (el acceso a los detalles puede quedar restringido hasta que la mayoría de los usuarios tenga el arreglo). Esa frase aparece en todas las notas de seguridad de Chrome para escritorio; no es una pista sobre esta falla en particular. Tampoco hay puntaje de gravedad CVSS publicado: The Hacker News lo anota como «N/A».
Otro dato que todavía no está: cuando la consultamos el 10 de noviembre por la mañana, la CVE-2026-125350 no figuraba en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, cuya última versión era del 9 de noviembre. Que no esté no quiere decir que la explotación sea dudosa: la confirmación es del propio fabricante, que es la fuente más directa que existe para esto.
Qué versión tenés que ver, según dónde uses Chrome
Primero, una trampa de calendario. Hace una semana salió Chrome 157, con 213 correcciones de seguridad, y quien actualizó entonces quedó en la 157.0.8103.38 o .39. Esa versión no trae este arreglo: lo trae la .50. El número grande, el 157, es el mismo, así que mirar solo esa parte engaña. Lo que hay que mirar son los últimos dígitos.
Google avisa que la versión nueva va a llegar «over the coming days/weeks», o sea, de a poco. En la práctica, Chrome baja la actualización solo y la aplica cuando cerrás y volvés a abrir el navegador. Si sos de los que dejan Chrome abierto una semana con 40 pestañas, esa actualización está esperando en la puerta. BleepingComputer contó que a ellos la versión les apareció enseguida al buscarla a mano, así que no hace falta esperar a que llegue sola.
| Dónde usás Chrome | Versión con el arreglo | Cómo se instala |
|---|---|---|
| Windows y Mac | 157.0.8103.50 o .51 | Acerca de Google Chrome › Reiniciar |
| Linux | 157.0.8103.50 | Con el gestor de paquetes de tu distribución |
| Android | 157.0.8103.50 | Google Play, en los próximos días |
| Canal Extended Stable (empresas), Windows y Mac | 156.0.8078.96 | Lo maneja quien administra los equipos |
| ChromeOS | La última estable, del 6 de noviembre, es anterior al arreglo | Con la actualización del sistema |
| iPhone y iPad | Las notas del 9 de noviembre no mencionan iOS: no sabemos si está afectada | App Store, como siempre |
Para Android, la nota de Google del mismo día dice que la 157.0.8103.50 trae las mismas correcciones de seguridad que la versión de escritorio. Para ChromeOS, la última versión estable publicada es del 6 de noviembre, anterior al arreglo, y no menciona la CVE. Y sobre iPhone y iPad, ni la nota de escritorio ni la de Android hablan de iOS: preferimos decir que no lo sabemos antes que suponer.
Dos detalles de la ayuda oficial de Chrome que conviene saber antes de tocar el botón. El primero: al reiniciar, Chrome vuelve a abrir las pestañas y ventanas que tenías, pero no las de incógnito. Si tenías un formulario a medio llenar en una ventana privada, terminalo antes. El segundo: en Windows, la actualización se aplica cuando cerrás todas las ventanas y pestañas de Chrome; cerrar una sola no alcanza.
Edge, Brave y el resto de la familia Chromium
Chromium es el proyecto de código abierto sobre el que están hechos Chrome, Edge, Brave, Opera, Vivaldi y muchos más. Cuando Google arregla una falla de Chromium, cada uno de esos navegadores tiene que tomar el arreglo y sacar su propia versión. Mientras tanto, la falla puede seguir abierta en ellos, aunque Chrome ya esté a salvo.
En las notas de seguridad de Edge, Microsoft escribió el 9 de noviembre: «Microsoft is aware of the recent exploits existing in the wild. We are actively working on releasing a security fix» (Microsoft sabe de los exploits recientes en circulación y trabaja activamente en publicar un arreglo). El aviso no nombra ninguna CVE. Es del mismo día que el parche de Google y por eso leemos que se refiere a esta, pero Microsoft no lo confirma. En esa misma página, la versión estable más reciente de Edge para computadoras es la 157.0.4341.42, del 5 de noviembre. Ese mismo 9 de noviembre Microsoft sacó Edge 157.0.4341.42 para Android e iOS, con la frase genérica de que incorpora las últimas correcciones de Chromium, sin nombrar esta. No sabemos si esa versión la incluye; si usás Edge en el celular, actualizalo igual desde la tienda.
Brave tampoco llegó, y no publicó ningún aviso. En su página de notas de versión, la última de escritorio era la 1.99.55, del 5 de noviembre, que pasó a Chromium 157.0.8103.39. Esa versión de Chromium es anterior a la que trae el arreglo. La última de Android era la 1.98.63, del 30 de octubre, sobre Chromium 156. No revisamos Opera ni Vivaldi; para todos, The Hacker News recomienda aplicar el arreglo apenas esté disponible.
¿Qué hacés si tu navegador de todos los días es Edge o Brave? Lo mismo que con Chrome, pero mirando todos los días hasta que aparezca la versión nueva y reiniciando cuando llegue. Ni Google ni Microsoft publicaron una medida alternativa al parche, así que la defensa que existe es la actualización. Mientras llega, vale la precaución de siempre, que no es específica de esta falla: no abrir enlaces que llegan sin contexto por correo o por chat.
Ocho en el año, y van tres desde septiembre
Según la cuenta de BleepingComputer y The Hacker News, esta es la octava falla de Chrome explotada antes de tener parche (lo que se llama un zero-day) que Google corrige en 2026. Los dos medios listan los mismos ocho CVE; los meses y los componentes son de BleepingComputer:
- Febrero: CVE-2026-2441, en el manejo de fuentes de CSS.
- Marzo: CVE-2026-3909, en la biblioteca gráfica Skia, y CVE-2026-3910, en V8, el motor de JavaScript.
- Abril: CVE-2026-5281, en Dawn, la base de WebGPU.
- Junio: CVE-2026-11645, en V8.
- Septiembre: CVE-2026-87491 y CVE-2026-85046, las dos en V8.
- Noviembre: CVE-2026-125350, en el procesamiento de XML.
Contamos la de septiembre en nuestra nota sobre la CVE-2026-85046. Según BleepingComputer, en todo 2025 Google había corregido otras ocho, muchas reportadas por su propio equipo que sigue el software espía. Con casi dos meses por delante, 2026 ya la empata. La de ahora, además, corta una racha de tres seguidas en V8.
Si administrás las computadoras de una pyme
En una oficina, el problema rara vez es que el parche no exista. Es que la computadora de la recepción tiene Chrome abierto desde el lunes y nadie lo cierra. Tres cosas concretas para hoy:
- Revisá la versión en cada equipo, o en la consola de administración si la usan. Todo lo que no diga 157.0.8103.50 o superior, o 156.0.8078.96 en el canal Extended Stable, está pendiente.
- Pedí que reinicien el navegador hoy, cerrando todas las ventanas. Avisá lo de las ventanas de incógnito para que nadie pierda un trámite a medio hacer.
- Anotá Edge en la lista. Viene con Windows y muchas veces es el que usa alguien sin saberlo. Revisalo a diario hasta que Microsoft publique su versión nueva.
Lo que no podemos darte es una forma de saber si alguno de tus equipos ya fue atacado. Google no publicó indicadores de compromiso, es decir, rastros técnicos que permitan buscar el ataque en una computadora, ni describió cómo llega. Si alguien te vende una herramienta que «detecta este ataque», preguntale de dónde sacó los datos que Google todavía no publicó.
Lo que todavía no se sabe
No sabemos si los ataques apuntan a computadoras, a teléfonos o a las dos cosas: Google habla de «an exploit» sin decir en qué plataforma. No sabemos si CISA la va a sumar a su catálogo ni cuándo. Y para América Latina no hay ningún dato de víctimas, y sería inventar decir que las hay o que no. Es de las pocas veces en que la seguridad informática te pide algo tan barato como un reinicio.
Vamos a seguir la nota de Edge y la página de Brave, y si CISA suma la falla a su catálogo o Google publica más detalles, lo contamos.
Fuentes
- Google, Chrome Releases, «Stable Channel Update for Desktop» (en inglés), 9 de noviembre de 2026. Versiones 157.0.8103.50/.51, nueve correcciones y la confirmación del exploit de CVE-2026-125350. Traducción de TCD.
- Google, Chrome Releases, «Extended Stable Update for Desktop» (en inglés), 9 de noviembre de 2026. Versión 156.0.8078.96 con la misma corrección.
- Google, Chrome Releases, «Chrome for Android Update» (en inglés), 9 de noviembre de 2026.
- Google, Chrome Releases, «Stable Channel Update for ChromeOS / ChromeOS Flex» (en inglés), 6 de noviembre de 2026.
- Google, «Cómo actualizar Google Chrome», Ayuda de Google Chrome.
- Microsoft, notas de las actualizaciones de seguridad de Microsoft Edge (en inglés), actualizadas el 9 de noviembre de 2026. Traducción de TCD.
- Brave, notas de versión (en inglés), consultadas el 10 de noviembre de 2026.
- CISA, catálogo de vulnerabilidades explotadas (en inglés), versión del 9 de noviembre de 2026, consultada el 10.
- BleepingComputer, «Google patches eighth Chrome zero-day exploited in attacks this year» (en inglés), 10 de noviembre de 2026.
- The Hacker News, «Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026» (en inglés), 10 de noviembre de 2026.
- Créditos de imagen: fotomontajes editoriales asistidos por IA con los logos oficiales de Chrome, Microsoft Edge y Brave, y la imagen oficial de Chrome publicada por Google en google.com/chrome.
