Saltar al contenido
Acceso clientes Agendar
CVE-2026-125350 Nueva

Vulnerabilidad de uso después de liberar memoria (use-after-free) en Google Chromium

Google · Chromium · Agregada al catálogo el 10-11-2026 · Última actualización: 10-11-2026

Parchar esta semana

Riesgo concreto: planifica el parche dentro de los próximos días.

Por qué esta prioridad
  • CISA confirma que se está explotando
  • Gravedad alta (CVSS 8,8)

Regla de 8Layer inspirada en el árbol de decisión SSVC de CISA: usa la explotación confirmada (CISA KEV), la evaluación SSVC de CISA, la gravedad CVSS y la probabilidad EPSS de FIRST. No reemplaza tu propia evaluación: considera si el producto está expuesto a internet en tu organización.

Descripción

Google Chromium contiene una vulnerabilidad de uso después de liberar memoria (use-after-free) en el componente XML que podría permitir que un atacante remoto ejecute código arbitrario dentro del entorno aislado (sandbox) mediante una página web especialmente manipulada. Esta vulnerabilidad podría afectar a varios navegadores web que utilizan Chromium, incluidos, entre otros, Google Chrome, Microsoft Edge y Opera.

Acción recomendada

Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.

Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.

Versiones afectadas

  • Chrome Afectadas: 157.0.8103.50 y anteriores a 157.0.8103.50

Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.

MITRE ATT&CK

Estimado por 8Layer

Cómo encaja esta vulnerabilidad en un ataque, según el marco MITRE ATT&CK, y qué medidas lo frenan.

Un atacante puede inducir a la víctima a visitar una página web especialmente diseñada que explota un uso de memoria liberada en el componente XML de navegadores basados en Chromium. Así logra ejecutar código arbitrario dentro del sandbox del navegador.

MITRE ATT&CK® y ATT&CK® son marcas registradas de The MITRE Corporation. © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. Nombres traducidos por 8Layer.

Referencias

Más referencias (CVE.org)

Ver el texto original en inglés (CISA)

Google Chromium Use-After-Free Vulnerability

Google Chromium contains a use-after-free vulnerability in the XML component that could allow a remote attacker to execute arbitrary code inside the sandbox via a specially crafted webpage. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Notes: https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-125350

Otras vulnerabilidades de Google en el catálogo

  • CVE-2026-111497 Vulnerabilidad de valor de retorno no verificado en Google Brotli Alta 27-10-2026
  • CVE-2026-58704 Vulnerabilidad de autorización incorrecta en Google Pixel Alta 16-09-2026
  • CVE-2026-87491 Vulnerabilidad de escritura fuera de límites en Google Chromium V8 Alta 09-09-2026
  • CVE-2026-85046 Vulnerabilidad de confusión de tipos en Google Chromium V8 Alta 04-09-2026
  • CVE-2026-11645 Vulnerabilidad de lectura y escritura fuera de límites en Google Chromium V8 Alta 09-06-2026
Ver las 77 de Google →

En el blog de 8Layer

Recibe el boletín cuando CISA agregue vulnerabilidades nuevas

Te escribimos solo cuando CISA agrega vulnerabilidades nuevas, ya traducidas: cada día que haya, o en un resumen los lunes. Confirmas por correo y te das de baja con un clic.

Frecuencia