Google ha lanzado una actualización de seguridad de emergencia para corregir la tercera vulnerabilidad Zero-Day de Chrome que se está explotando en ataques desde principios de año. La compañía informó sobre el problema en un aviso publicado el lunes, indicando que tiene conocimiento de la existencia de un exploit relacionado con la vulnerabilidad CVE-2025-5419.
Vulnerabilidad reportada por Google
La vulnerabilidad se debe a un error de lectura y escritura fuera de los límites en el motor JavaScript V8 de Chrome. Fue reportada hace una semana por Clement Lecigne y Benoît Sevens, del Grupo de Análisis de Amenazas de Google. La compañía afirmó que el problema fue mitigado un día después mediante un cambio de configuración implementado en el canal estable de todas las plataformas Chrome.
El lunes se lanzaron actualizaciones para corregir la vulnerabilidad, incluyendo versiones 137.0.7151.68/.69 para Windows/Mac y 137.0.7151.68 para Linux. Estas versiones se implementarán en el canal estable de escritorio en las próximas semanas.
Restricción sobre la divulgación de detalles
Aunque Google confirmó que CVE-2025-5419 se está explotando activamente, la compañía no compartirá información adicional sobre estos ataques hasta que más usuarios hayan aplicado el parche. La empresa explicó que «el acceso a los detalles del error y a los enlaces podría mantenerse restringido hasta que la mayoría de los usuarios reciba una actualización con la corrección». También mencionó que mantendrá las restricciones si el error existe en una biblioteca de terceros, pero aún no ha sido corregida.
Historial de vulnerabilidades Zero-Day en Chrome
Esta es la tercera vulnerabilidad de día cero de Google en Chrome desde principios de año. Antes de esta, se habían parcheado dos más: una en marzo y otra en mayo. La primera fue una falla de escape de sandbox de alta gravedad (CVE-2025-2783), descubierta por Boris Larin e Igor Kuznetsov de Kaspersky, que se utilizó para desplegar malware en ataques de espionaje dirigidos a organizaciones gubernamentales y medios de comunicación rusos.
En mayo, Google lanzó otro conjunto de actualizaciones de seguridad de emergencia para parchear una vulnerabilidad Zero-Day de Chrome que podría permitir a los atacantes tomar el control de las cuentas tras una explotación exitosa. El año anterior, la compañía parcheó 10 vulnerabilidades de día cero que se probaron durante la competición de hacking Pwn2Own o que fueron explotadas en ataques.
El material incluye referencias a otros artículos y publicaciones relacionados con las actualizaciones de seguridad, pero no se mencionan directamente en el contenido principal del artículo.