Mensaje de BlockBeats, 10 de noviembre: Google lanzó una actualización de canal estable de emergencia para el navegador Chrome en escritorio el 9 de noviembre de 2026, reparando 9 vulnerabilidades de seguridad, incluyendo una vulnerabilidad de día cero ya explotada en la naturaleza. Esta actualización eleva las versiones de Chrome en las plataformas Windows y Mac a la 157.0.8103.50/.51, y a la 157.0.8103.50 en Linux, y se implementará gradualmente en los próximos días a semanas.
El enfoque principal de esta actualización es la vulnerabilidad crítica con el número CVE-2026-125350, un tipo use-after-free en componentes XML. Google indicó claramente en su anuncio que "se conoce que CVE-2026-125350 está siendo explotada en la naturaleza", pero no reveló el método de ataque específico, la escala de las víctimas ni la autoría de las actividades de ataque. Esta vulnerabilidad fue reportada por un investigador anónimo el 6 de noviembre de 2026, apenas tres días antes de que Google lanzara el parche de corrección.
De los 9 parches, 7 son de nivel «crítico» y 2 de nivel «medio». Además de CVE-2026-125350, otra vulnerabilidad crítica, CVE-2026-125346, también es un problema de uso tras liberación en el componente XML, reportado por Arni Hardarson de Neonix Security el 12 de octubre de 2026, pero Google solo marcó CVE-2026-125350 como vulnerabilidad explotada en la naturaleza. Las demás vulnerabilidades críticas incluyen recursos WebGL no inicializados, autorización inadecuada de FileSystem, desbordamiento de búfer del compositor, escritura fuera de límites en GPU y confusión de tipos en V8, la mayoría descubiertas por el equipo de seguridad interno de Google.
Google también confirmó que la versión de Chrome para Android (157.0.8103.50), lanzada el mismo día, incluye las mismas correcciones de seguridad que la versión de escritorio, sin excepciones mencionadas. Los usuarios que utilizan el canal extendido estable deben instalar la actualización publicada por separado el 9 de noviembre, con versiones para Windows y Mac en 156.0.8078.96, que también enumera CVE-2026-125350 como una corrección de alta prioridad.
El Centro de Coordinación de Incidentes de Seguridad Informática del Gobierno de Hong Kong (GovCERT.HK) emitió el mismo día una alerta de seguridad, clasificando los sistemas afectados como versiones anteriores a Chrome 157.0.8103.50, y señaló que la explotación exitosa de estas vulnerabilidades podría conducir a la ejecución remota de código, denegación de servicio, alteración o eludir restricciones de seguridad. El Centro de Coordinación de Incidentes de Seguridad Informática de Hong Kong (HKCERT) evaluó el nivel de riesgo de esta actualización como «muy alto».
Google indicó en su anuncio que el acceso a los detalles y enlaces de la vulnerabilidad puede permanecer restringido hasta que la mayoría de los usuarios completen la actualización. La empresa recomienda a los usuarios que verifiquen y activen manualmente la actualización mediante «Configuración → Acerca de Chrome»; después de completar la actualización, es necesario reiniciar el navegador para que el parche surta efecto. Para los usuarios que aún ejecutan versiones anteriores a Chrome 157.0.8103.50, la acción prioritaria actual es confirmar el número de versión y reiniciar inmediatamente para completar la actualización.