Google a publié ce lundi des correctifs pour son navigateur Chrome, adressant neuf failles de sécurité distinctes, dont une vulnérabilité zero-day déjà activement exploitée sur internet. La faille majeure, identifiée comme CVE-2026-125350, est un bug de type use-after-free au sein du composant XML. Ce genre d’erreur survient quand un programme tente d’accéder à une zone mémoire après l’avoir libérée, ce qui peut théoriquement permettre à un attaquant de provoquer une corruption de données ou une exécution de code arbitraire.

Le géant technologique a confirmé être « conscient qu’un exploit pour CVE-2026-125350 existe sur le terrain », mais il n’a pas divulgué de détails supplémentaires sur la manière dont cet abus est mené ou qui est derrière. Google a précisé que les informations sur les failles pourraient rester restreintes tant que la majorité des utilisateurs n’auront pas appliqué le correctif.

C’est la huitième vulnérabilité zero-day activement exploitée sur Chrome depuis le début de l’année, selon The Hacker News et SecurityWeek.

Ce qui est touché et la gravité réelle

En plus de cette nouvelle menace, la mise à jour Chrome 157 corrige six vulnérabilités critiques touchant divers composants : WebGL, FileSystem, Compositing, GPU, V8 et XML. Google a identifié la majorité de ces failles en interne. Par ailleurs, d’autres failles, comme CVE-2026-11645, ciblaient le moteur V8 et autorisaient un attaquant distant à exécuter du code dans un bac à sable via une page HTML malveillante, une menace de haute gravité, notée 8,8 sur l’échelle CVSS.

Des failles comme CVE-2026-2441, par exemple, concernaient une faille use-after-free dans le CSS, permettant également une exécution de code via une page HTML. Ces failles ont déjà été répertoriées par CISA comme étant exploitées activement, ce qui souligne l’urgence pour tous les utilisateurs de navigateurs basés sur Chromium, tels que Microsoft Edge ou Opera.

Qui doit agir et comment

La réponse de Google est simple : mettre à jour. Pour les utilisateurs de Windows ou de macOS, il faut passer à la version 157.0.8103.50 ou 157.0.8103.51. Les systèmes Linux bénéficient de la version 157.0.8103.50. Le processus est direct : il suffit d’aller dans le menu de Chrome, puis Aide, et de sélectionner « À propos de Google Chrome » pour forcer la vérification et l’installation des mises à jour.

Pour les autres navigateurs Chromium, il est conseillé d’appliquer les correctifs dès qu’ils sont disponibles. Face à la persistance de ces failles, même si Google reste discret sur les détails des attaques, il est impératif de vérifier régulièrement l’état de votre navigateur. Si vous utilisez un environnement d’entreprise, les systèmes de gestion des correctifs doivent être accélérés pour garantir que tous les utilisateurs atteignent au plus vite les versions corrigées, car une seule faille active suffit à mettre en péril l’intégrité des données consultées.

Fiche technique

Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026, The Hacker News, 10 novembre 2026
• Chrome Update Patches Exploited XML Zero-Day, Eighth This Year, SecurityWeek, 10 novembre 2026
• GHSA-x2hh-w9mw-3vq2 : Out of bounds read and write in V8 in Google Chrome prior to 149.0.7827.103 allowed a…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-11645, NVD (NIST)
• CVE-2026-11645 dans le catalogue KEV, CISA
• GHSA-xpp8-qpcr-c3rg : Use after free in CSS in Google Chrome prior to 145.0.7632.75 allowed a remote attacker…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-2441, NVD (NIST)
• CVE-2026-2441 dans le catalogue KEV, CISA