Google ha lanzado una actualización de seguridad para el navegador Chrome que aborda seis vulnerabilidades. Entre ellas se encuentra CVE-2025-6558, una vulnerabilidad que está siendo explotada activamente por atacantes. Esta vulnerabilidad fue descubierta por investigadores del Grupo de Análisis de Amenazas (TAG) de Google el 23 de junio.
Vulnerabilidad en ANGLE y GPU
La vulnerabilidad CVE-2025-6558 se describe como una validación insuficiente de entradas no confiables en ANGLE y la GPU. Esta afecta a las versiones de Chrome anteriores a la 138.0.7204.157. Un atacante que logre explotarla podría escapar del sandbox utilizando una página HTML especialmente diseñada.
ANGLE es una capa de abstracción gráfica de código abierto utilizada por Chrome para traducir las llamadas a la API de OpenGL ES a Direct3D, Metal, Vulkan y OpenGL. Dado que ANGLE procesa comandos de GPU de fuentes no confiables, como sitios web que utilizan WebGL, los errores en este componente pueden tener un impacto crítico en la seguridad.
La vulnerabilidad permite a un atacante remoto, mediante una página HTML especialmente diseñada, ejecutar código arbitrario dentro del proceso de la GPU del navegador. Google no ha proporcionado detalles técnicos sobre cómo la activación del problema podría permitir escapar del entorno de pruebas del navegador.
Recomendaciones y actualizaciones
Dado el alto riesgo y el estado de explotación activa de CVE-2025-6558, se recomienda a los usuarios de Chrome que actualicen a la versión 138.0.7204.157/.158 lo antes posible, según su sistema operativo.
La actualización de seguridad corrige cinco vulnerabilidades más, incluyendo una falla de alta gravedad en el motor V8 identificada como CVE-2025-7656 y un problema de uso después de la liberación en WebRTC, identificado como CVE-2025-7657. Ninguna de estas cinco vulnerabilidades se identificó como explotada activamente.
Historial de vulnerabilidades en Chrome
CVE-2025-6558 es la quinta vulnerabilidad explotada activamente descubierta y corregida en el navegador Chrome desde principios de año. En marzo, Google corrigió una falla de escape de sandbox de alta gravedad, CVE-2025-2783, que se había explotado en ataques de espionaje dirigidos contra agencias gubernamentales y medios de comunicación rusos.
Dos meses después, en mayo, Google publicó otra actualización para corregir CVE-2025-4664, una vulnerabilidad de día cero que permitía a los atacantes secuestrar cuentas de usuario. En junio, la compañía abordó otro problema grave, CVE-2025-5419, una vulnerabilidad de lectura/escritura fuera de límites en el motor JavaScript V8 de Chrome.
A principios de este mes, Google corrigió la cuarta vulnerabilidad de día cero en Chrome, CVE-2025-6554, también en el motor V8, descubierta por investigadores de GTAG.