Opera revela una falla de MCP Hub en Opera Neon que permite controlar el navegador

Opera publicó el 12 de noviembre de 2026 un aviso de seguridad sobre CVE-2026-123139, una falla de gravedad media en la extensión MCP Hub que viene con su navegador Opera Neon. Los detalles están en el aviso de seguridad de Opera.

Qué cambió

• CVE-2026-123139 tiene un puntaje CVSS de 5,8, clasificado como gravedad media.
• La falla está clasificada como CWE-940, verificación incorrecta del origen de un canal de comunicación.
• Afecta a la extensión Opera Neon MCP Hub versión 0.0.1 que corre sobre Opera Neon 1.0.0.
• Afecta tanto a macOS como a Windows.
• Una extensión de navegador maliciosa puede enviar comandos no autorizados a través de MCP Hub a la extensión integrada Browser Operator, que no verifica que los comandos provengan de una fuente confiable.
• El CVE se reservó el 5 de noviembre de 2026 y se publicó el 12 de noviembre de 2026; la CVE Numbering Authority es Opera Norway AS.

Qué significa para quienes construyen con IA

Explotar la falla requiere acceso local a través de otra extensión de navegador instalada, no un ataque remoto, por lo que primero debe existir una extensión maliciosa en el mismo navegador. Se trata de la primera vulnerabilidad específica de MCP divulgada en la arquitectura de extensiones y centro de herramientas de un navegador de IA de consumo masivo, algo relevante porque los navegadores de IA conectan cada vez más MCP con interfaces de extensión que tienen privilegios reales de control del sistema y del navegador.

Fuentes

• Improper verification of source of a communication channel - Opera security advisories (Opera, 12 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.