Vulnerabilidad CVE-2025-6554 en Google Chrome

Introducción

CVE-2025-6554 es una vulnerabilidad crítica de tipo zero-day descubierta en el motor V8, que es el motor de JavaScript y WebAssembly usado por Google Chrome y otros navegadores basados en Chromium.

Descripción técnica

La vulnerabilidad consiste en un fallo de confusión de tipos (type confusion, CWE-843) que permite a un atacante remoto no autenticado manipular cómo V8 interpreta ciertos tipos de datos. Esto habilita la lectura y escritura arbitraria en memoria cuando el usuario carga una página HTML maliciosa. En escenarios específicos, esta vulnerabilidad puede facilitar la ejecución remota de código (RCE).

Versiones afectadas

Afecta a Google Chrome y a todos los navegadores basados en Chromium que utilicen versiones anteriores a:

Windows: 138.0.7204.96 / 138.0.7204.97
macOS: 138.0.7204.92 / 138.0.7204.93
Linux: 138.0.7204.92

Facilidad de explotación

El atacante solo necesita que la víctima visite una página web especialmente diseñada.
No requiere autenticación ni interacción adicional más allá de la carga de la página.
Existe evidencia de explotación activa en ataques dirigidos contra objetivos de alto perfil.
Google aplicó un kill-switch temporal el 26 de junio antes de lanzar el parche definitivo.

Impacto

La explotación exitosa permite la ejecución remota de código en el contexto del navegador, lo que puede derivar en la instalación de malware, secuestro de sesiones, robo de información y otros ataques sofisticados.

Recomendaciones

Actualizar Google Chrome a la versión más reciente disponible (138.0.7204.96 o superior).
Para entornos empresariales, habilitar la administración automática de parches y supervisar la compatibilidad de las versiones.
Usuarios de otros navegadores basados en Chromium (Microsoft Edge, Opera, Brave, Vivaldi) deben aplicar las actualizaciones correspondientes cuando estén disponibles.
Limitar la instalación de extensiones y activar la navegación aislada ("Site Isolation") para reducir la superficie de ataque.

Workarounds

No existen soluciones temporales o workarounds efectivos para esta vulnerabilidad.