El octavo zero-day de Chrome este año está en la parte que lee XML, y el parche necesita un reinicio

Google lanzó el lunes 9 de noviembre una actualización de Chrome con nueve correcciones de seguridad. Una importa más que el resto. CVE-2026-125350 es un fallo de memoria en la parte de Chrome que procesa XML, un formato de datos sencillo que las webs usan entre bastidores, y el aviso de Google incluye la frase que a nadie le gusta leer: «Google tiene constancia de que existe un exploit para CVE-2026-125350 en circulación».

Con este van ocho zero-days de Chrome explotados en 2026 según el recuento de BleepingComputer, los mismos que en todo 2025, y aún quedan siete semanas. Dos de los anteriores se corrigieron en septiembre. Según CyberInsider, un investigador anónimo informó de este el 6 de noviembre, así que Google tuvo listo el parche en tres días. Como de costumbre, la empresa no dice quién está usando el fallo ni contra quién, y los detalles técnicos seguirán bajo llave hasta que la mayoría de los usuarios haya actualizado. Lo que se conoce es el tipo: un use-after-free, en el que el navegador sigue usando un trozo de memoria que ya había devuelto, algo que una página web trucada puede aprovechar para ejecutar su propio código.

La versión corregida es la 157.0.8103.50 o .51 en Windows y Mac, y la 157.0.8103.50 en Linux. Chrome la descarga sin hacer ruido, pero aquí está la pega: una actualización descargada no protege de nada mientras el navegador antiguo siga abierto. Si eres de los que mantienen cuarenta pestañas abiertas durante semanas, abre el menú de los tres puntos, elige Ayuda, luego Información de Google Chrome, espera a que termine la comprobación y pulsa Reiniciar. Las pestañas vuelven. Edge, Brave, Opera y Vivaldi se basan en el mismo código Chromium, así que cabe esperar sus propias actualizaciones; instálalas en cuanto te las ofrezcan.

La comprobación de actualizaciones de aplicaciones de Tendvane, que usa winget, te dirá si Chrome u otro navegador de tu PC sigue en una versión anterior.