Google ha lanzado actualizaciones de seguridad para abordar una vulnerabilidad crítica en su navegador Chrome, la cual ya tiene un exploit disponible. La vulnerabilidad, identificada como CVE-2025-6554, se encuentra en el motor V8 JavaScript y WebAssembly del navegador.
Detalles de la vulnerabilidad
Según la descripción publicada por NIST (NVD), esta vulnerabilidad es un defecto de confusión de tipo que afecta a versiones anteriores a 138.0.7204.96 de Chrome. Un atacante remoto podría aprovecharla para realizar lectura y escritura arbitrarias mediante una página HTML especialmente diseñada.
Riesgos asociados
Los errores de confusión de tipo pueden tener consecuencias severas, ya que permiten a los atacantes desencadenar comportamientos inesperados en el software. Esto puede resultar en la ejecución de bloqueos arbitrarios y la interrupción del funcionamiento normal del programa.
Contexto de explotación
Los errores Zero-Day son especialmente peligrosos porque los atacantes suelen comenzar a usarlos antes de que se publique una solución. En ataques reales, estos defectos pueden permitir la instalación de spyware, descargas de transmisión o la ejecución de código dañino en silencio, simplemente al hacer que alguien abra un sitio web malicioso.
Descubrimiento y mitigación
Clement Lecigne del Grupo de Análisis de Amenazas (TAG) de Google fue acreditado por descubrir e informar la vulnerabilidad el 25 de junio de 2025. Esto sugiere que podría haber sido utilizada en ataques altamente específicos, posiblemente involucrando actores nacionales o operaciones de vigilancia.
El problema fue mitigado al día siguiente mediante un cambio de configuración que se empujó al canal estable en todas las plataformas. Para los usuarios cotidianos, esto significa que la amenaza puede no estar muy extendida todavía, pero aún es urgente parchear, especialmente si se encuentra en roles que manejan datos confidenciales o de alto valor.
Confirmación de exploit
Google no ha publicado detalles adicionales sobre la vulnerabilidad ni quién la ha explotado. Sin embargo, reconoció que «un exploit para CVE-2025-6554 existe en la naturaleza».
Vulnerabilidades anteriores
CVE-2025-6554 es la cuarta vulnerabilidad Zero-Day en Chrome que aborda desde el comienzo del año, tras CVE-2025-2783, CVE-2025-4664 y CVE-2025-5419. Sin embargo, no hay claridad sobre si CVE-2025-4664 ha sido abusada en un contexto malicioso.
Recomendaciones
Se recomienda actualizar el navegador Chrome a las versiones 138.0.7204.96/.97 para Windows, 138.0.7204.92/.93 para macOS y 138.0.7204.96 para Linux.
También se recomienda a los usuarios de otros navegadores basados en Chrome como Microsoft Edge, Brave, Opera y Vivaldi que apliquen las soluciones cuando estén disponibles.
Adición al catálogo de vulnerabilidades
La Agencia CISA agregó esta vulnerabilidad de Chromium V8 a su catálogo de vulnerabilidades conocidas y explotadas (KEV).