Chrome CVE-2026-125350 use-after-free et Cisco BroadWorks CVE-2026-20320 — CISA KEV

Les faits

Le 10 novembre 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté six nouvelles vulnérabilités à son catalogue KEV (Known Exploited Vulnerabilities), dont deux ont retenu particulièrement l'attention : CVE-2026-125350 dans Google Chromium et CVE-2026-20320 dans Cisco BroadWorks. Ces deux ajouts simultanés au KEV soulignent la diversité des vecteurs d'attaque actuellement exploités par les acteurs malveillants.

CVE-2026-125350 — Google Chromium Use-After-Free

CVE-2026-125350 est une vulnérabilité de type use-after-free (UAF) dans le moteur de rendu de Google Chromium. Les vulnérabilités use-after-free constituent l'une des classes de bugs les plus dangereuses en mémoire C++ : elles surviennent lorsqu'un programme continue d'utiliser un pointeur vers une zone mémoire qui a déjà été libérée (free()). Si un attaquant parvient à contrôler le contenu de la zone mémoire réallouée après la libération, il peut détourner le flux d'exécution du programme pour exécuter du code arbitraire dans le contexte du processus Chromium.

Dans le contexte d'un navigateur web, une exploitation réussie d'un UAF peut permettre une exécution de code arbitraire dans le processus de rendu (renderer process). Chromium utilise une architecture multi-processus avec sandboxing pour isoler les onglets et limiter l'impact des exploits navigateur. Cependant, les UAF critiques peuvent être chaînés avec des exploits de type sandbox escape pour obtenir une exécution de code au niveau du processus principal (browser process), avec les privilèges de l'utilisateur courant. L'ajout au CISA KEV confirme que CVE-2026-125350 est activement exploitée dans le wild, ce qui indique que des acteurs malveillants disposent d'un exploit fonctionnel, potentiellement capable d'exécuter du code sur les systèmes des victimes visitant des pages web malveillantes.

L'écosystème Chromium est particulièrement large : Chrome, Microsoft Edge (basé sur Chromium depuis 2020), Brave, Opera, Vivaldi et de nombreux autres navigateurs reposent sur le même moteur de rendu. Tous ces navigateurs sont affectés par CVE-2026-125350 et nécessitent une mise à jour. Google a publié un correctif d'urgence dans le cadre de sa procédure de patch accéléré (fast-track release) habituelle pour les exploits navigateur in-the-wild. La deadline fédérale CISA est fixée au 24 novembre 2026.

CVE-2026-20320 — Cisco BroadWorks XML External Entity Injection

CVE-2026-20320 affecte Cisco BroadWorks, une plateforme de communications unifiées (UCaaS) utilisée par les opérateurs de télécommunications et les entreprises pour fournir des services de téléphonie cloud, de collaboration et de centre de contact. La faille est une injection XXE (XML External Entity) dans le service OCI-P (Open Client Interface — Provisioning), l'interface de provisionnement XML utilisée pour configurer les abonnés et les services BroadWorks.

Le vecteur d'exploitation est simple : le parseur XML du service OCI-P résout les entités externes par défaut, sans restriction. Un attaquant non authentifié peut envoyer un message XML spécialement construit au service OCI-P, contenant une déclaration d'entité externe pointant vers un fichier local du système (par exemple /etc/passwd, des fichiers de configuration BroadWorks contenant des credentials, ou des certificats). Le serveur BroadWorks résout l'entité, lit le contenu du fichier, et l'inclut dans sa réponse ou l'envoie vers un serveur externe contrôlé par l'attaquant (out-of-band XXE). Le score CVSS est de 7.5 (High), avec un vecteur réseau et sans authentification requise.

Cisco a corrigé la vulnérabilité dans la release BroadWorks RI.2026.07, publiée initialement en août 2026 avec la divulgation initiale de la faille. Cisco PSIRT indiquait à l'époque n'avoir connaissance d'aucune exploitation active. L'ajout au CISA KEV en novembre 2026 indique que la situation a évolué : des exploitations dans le wild ont depuis été confirmées par les agences de cybersécurité gouvernementales américaines. Cisco a précisé qu'il n'existe aucun workaround pour cette vulnérabilité — le patch est la seule solution de remédiation.

Cisco BroadWorks est un composant d'infrastructure critique pour de nombreux opérateurs télécom et fournisseurs de services cloud. Des fichiers accessibles via XXE sur un serveur BroadWorks peuvent inclure des fichiers de configuration contenant des mots de passe d'administrateur, des clés API, des certificats TLS et des credentials de bases de données, permettant une compromission étendue au-delà du serveur initial. Les deux CVE du batch CISA KEV du 10 novembre 2026 illustrent une tendance : les attaquants ciblent simultanément les navigateurs (CVE-2026-125350 pour compromettre les postes de travail) et les infrastructures de communication d'entreprise (CVE-2026-20320 pour accéder aux données télécom et de provisionnement).

Le batch complet du 10 novembre 2026 comprend également CVE-2026-116606 et CVE-2026-111560 (Barracuda ESG, deadline de remédiation fédérale : 13 novembre 2026), CVE-2026-111793 (Openwave Webtop Media Transcoder) et CVE-2026-124194 (Microsoft Outlook, traité dans un article dédié sur ce site). La multiplication d'ajouts KEV en un seul jour reflète une intensification des campagnes d'exploitation active observée par les agences gouvernementales américaines.

Impact et exposition

Pour CVE-2026-125350 dans Chromium, l'exposition est maximale : Chrome est le navigateur le plus utilisé au monde, et Microsoft Edge (basé sur Chromium) est le navigateur par défaut sur Windows. Tout utilisateur naviguant sur des sites non fiables avec un navigateur Chromium non patché est potentiellement exposé à une exécution de code arbitraire. Les utilisateurs professionnels utilisant des applications web métier via Chrome ou Edge sont particulièrement concernés, car leurs postes contiennent souvent des credentials sauvegardés et des sessions actives sur des ressources d'entreprise.

Pour CVE-2026-20320 dans Cisco BroadWorks, l'exposition concerne principalement les opérateurs télécom, les fournisseurs de services de communication cloud et les entreprises hébergeant leur propre instance BroadWorks. L'interface OCI-P est typiquement accessible sur le réseau interne ou depuis des partenaires de provisionnement, mais les instances cloud exposées sur Internet augmentent la surface d'attaque. L'exploitation réussie peut donner accès à des informations de configuration sensibles, des credentials de bases de données ou des données d'abonnés.

Recommandations immédiates

• Mettre à jour Google Chrome vers la dernière version stable disponible (Help > About Google Chrome ou déploiement via GPO/Intune) — le patch pour CVE-2026-125350 est inclus dans les mises à jour Chrome de novembre 2026.
• Mettre à jour Microsoft Edge vers la dernière version (également basé sur Chromium, même vecteur d'exploitation).
• Mettre à jour tous les navigateurs Chromium-based déployés en entreprise (Brave, Opera, Vivaldi) vers leurs versions corrigées respectives.
• Pour Cisco BroadWorks : appliquer la mise à jour vers la release RI.2026.07 ou ultérieure — aucun workaround n'est disponible selon Cisco PSIRT.
• Pour BroadWorks : vérifier les logs OCI-P pour des requêtes XML contenant des entités externes suspectes (DOCTYPE, SYSTEM, ENTITY) qui pourraient indiquer des tentatives d'exploitation.
• Référence : CISA KEV Alert 2026/11/10 — Cisco Security Advisory cisco-sa-bworks-xxe-uwUd7CEt ; Google Chrome Release Blog novembre 2026.
• Deadline CISA KEV pour les agences fédérales américaines : 24 novembre 2026 pour les deux CVE.