Chromium: fallo use-after-free en XML ya explotado (CVE-2026-125350)

Qué es y a quién afectaEl catálogo de vulnerabilidades del NIST recoge el identificador CVE-2026-125350, un fallo de tipo use-after-free (CWE-416) en...

Qué es y a quién afecta

El catálogo de vulnerabilidades del NIST recoge el identificador CVE-2026-125350, un fallo de tipo use-after-free (CWE-416) en el componente XML de Google Chromium. Según la descripción oficial, un atacante remoto podría ejecutar código arbitrario dentro del sandbox del navegador si la víctima abre una página HTML especialmente diseñada. El vector CVSS 3.1 es AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, con una puntuación de 8.8 (HIGH): hablamos de una vulnerabilidad grave, no crítica, pero con impacto alto en confidencialidad e integridad.

El alcance es más amplio de lo que parece, porque Chromium es la base de varios navegadores. CISA señala expresamente que puede afectar a Google Chrome, Microsoft Edge y Opera, entre otros. En la NVD consta como versión afectada google chrome hasta 157.0.8103.50 (sin incluir). Es decir, cualquier equipo con una versión anterior a esa queda dentro del radio de exposición.

Esto incluye a la mayoría de pymes, comercios online y despachos de Cataluña y del resto de España: estaciones de trabajo, portátiles de teletrabajo, equipos de atención al público y también servidores con navegador instalado para tareas de automatización o administración.

Por qué es urgente

No estamos ante un fallo teórico pendiente de confirmación. CISA añadió CVE-2026-125350 a su catálogo KEV el 10 de noviembre de 2026, lo que significa que hay constancia de explotación activa en ataques reales. La propia NVD publicó el registro ese mismo día.

El plazo que CISA da a las agencias federales de Estados Unidos para corregir es el 24 de noviembre de 2026. Dos semanas. Ese calendario refleja la prioridad que se le asigna: cuando una vulnerabilidad entra en KEV, el margen de reacción se mide en días, no en trimestres.

La acción exigida por CISA pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a su directriz BOD 26-04 sobre priorización de actualizaciones según riesgo, y valorar la exposición a internet de cada activo. En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: la ejecución de código dentro del sandbox ya es un riesgo serio por sí mismo.

Qué hacer hoy

Inventario primero. Comprueba qué navegadores basados en Chromium usáis en la empresa y en qué versión están: Chrome, Edge, Opera y cualquier otro derivado. Revisa también los equipos de IT, los portátiles de comercial y los servidores con escritorio.
Actualiza. El aviso del fabricante (las notas de la versión estable de Chrome del canal de escritorio) es la referencia para saber qué compilación corrige el fallo. Aplica lo que indique ese aviso y no te quedes en la versión mínima que hayas visto en un titular: verifica la build exacta en cada equipo.
No olvides los derivados. Edge y Opera publican sus propias actualizaciones con su propio calendario. Tener Chrome al día no protege a quien trabaja con Edge.
Busca indicios de intrusión. Si algún equipo ha estado por debajo de la versión corregida, revisa actividad anómala en el navegador, procesos hijos inesperados, conexiones salientes raras y registros de acceso a paneles internos.
Reduce lo expuesto. Limita el uso de navegador en servidores, restringe la navegación a sitios necesarios en perfiles sensibles y aplica el criterio de CISA: evalúa la exposición a internet de cada activo antes de decidir el orden de parcheo.

Si no puedes actualizar de inmediato, aplica las mitigaciones que indique el fabricante. Y si el producto no se puede mitigar, la recomendación de CISA es valorar dejar de usarlo hasta que exista una solución.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Gestionar esto a mano en una pyme con un equipo de IT pequeño es complicado: hay que saber qué versión tiene cada equipo, cuáles son de escritorio y cuáles de servidor, y demostrar después que se ha corregido. En ALMC trabajamos precisamente en ese punto: auditorías de seguridad y pentesting para detectar vulnerabilidades antes de que las exploten, hardening de servidores y monitorización con respuesta a incidentes cuando aparece algo raro.

Si tu web está montada sobre WordPress, PrestaShop o Joomla, el navegador no es el único frente: el mantenimiento y la actualización de esas plataformas, junto con las copias de seguridad, forman parte del mismo trabajo de base. Y si ya hay señales de compromiso, nos encargamos también de la reparación de webs hackeadas. La idea es sencilla: cerrar lo que está abierto, vigilar lo que queda y tener un plan si algo falla, con el RGPD y la LOPDGDD como marco de referencia en el tratamiento de datos.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.