CVE-2026-125350: Use-After-Free en el componente XML de Google Chromium

CVE-2026-125350: use-after-free en Google Chromium explotado activamente

CISA incorporó el 10 de noviembre de 2026 al catálogo Known Exploited Vulnerabilities (KEV) la vulnerabilidad CVE-2026-125350, un use-after-free (CWE-416) en el componente XML de Google Chromium. Con CVSS 8.8 (alto), existe evidencia de explotación activa. CISA indica que el uso en campañas de ransomware es desconocido.

Análisis Técnico

Un use-after-free ocurre cuando el programa sigue usando un puntero a memoria ya liberada. En este caso, el defecto está en el manejo del componente XML del navegador, y un atacante puede aprovecharlo para corromper memoria del proceso de renderizado.

Vector de Ataque

El atacante remoto aloja o inyecta una página web especialmente manipulada.
La víctima solo necesita visitarla, con interacción mínima del usuario.
La explotación permite ejecución de código arbitrario dentro del sandbox del navegador.
Típicamente se encadena con un escape de sandbox para comprometer el sistema completo (sandbox escape).

Impacto Operacional y de Seguridad

La ejecución de código en el sandbox puede derivar en robo de sesiones y credenciales, acceso a datos del navegador y, combinada con otra falla, compromiso total del equipo. Al ser Chromium la base de múltiples navegadores, la superficie afectada es amplia: usuarios corporativos, estaciones de trabajo y entornos con navegadores embebidos.

Productos Afectados

Google Chrome (escritorio)
Microsoft Edge
Opera
Otros navegadores y aplicaciones basados en Chromium

Las versiones exactas corregidas se detallan en el aviso de Chrome Releases (canal estable de escritorio, noviembre de 2026).

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Actualizar Chrome a la última versión estable y reiniciar el navegador para aplicar el parche.
Actualizar Edge, Opera y cualquier software basado en Chromium cuando el fabricante publique su corrección.
Inventariar navegadores y aplicaciones con Chromium embebido (Electron, CEF) y priorizar los expuestos a Internet.
Seguir la guía BOD 26-04 y los requisitos de triage forense de CISA; la fecha límite para agencias FCEB es el 24 de noviembre de 2026.
Monitorear en EDR cierres inesperados del proceso de renderizado y procesos hijos anómalos del navegador.

Si no hay mitigaciones disponibles, CISA recomienda discontinuar el uso del producto afectado.