CVE-2026-5281 : zero-day Chrome WebGPU exploité activement

Google vient de corriger la quatrième vulnérabilité zero-day de Chrome en 2026. Référencée CVE-2026-5281, cette faille de type use-after-free dans Dawn, l'implémentation open source du standard WebGPU, permet l'exécution de code arbitraire via une simple page web piégée. La CISA a immédiatement ajouté cette CVE à son catalogue KEV le 1er avril 2026, imposant aux agences fédérales américaines un correctif avant le 15 avril. Les versions antérieures à Chrome 146.0.7680.178 sur Windows et macOS, et 146.0.7680.177 sur Linux, sont vulnérables. L'exploitation active confirmée en conditions réelles rend la mise à jour critique pour toutes les organisations utilisant des navigateurs Chromium, y compris Edge, Brave et Opera. Cette cadence de zero-days — quatre en moins de quatre mois — illustre une tendance préoccupante qui place le navigateur au centre des stratégies offensives modernes.

Les faits

Le 1er avril 2026, Google a publié un correctif d'urgence pour Chrome, corrigeant 21 vulnérabilités dont la CVE-2026-5281. Cette faille réside dans Dawn, le composant open source qui implémente le standard WebGPU pour le rendu GPU dans le navigateur. Il s'agit d'un bug de type use-after-free : une zone mémoire est libérée puis réutilisée de manière illégitime, permettant à un attaquant de corrompre la mémoire du processus de rendu. D'après Google, un exploit fonctionnel circule déjà dans la nature.

La CISA a réagi le jour même en ajoutant CVE-2026-5281 à son catalogue Known Exploited Vulnerabilities (KEV), fixant une date limite de correction au 15 avril 2026 pour les agences fédérales. C'est le quatrième zero-day Chrome de l'année, après des failles dans le moteur CSS, la bibliothèque graphique Skia et le moteur JavaScript V8. Cette cadence inédite rappelle les techniques d'exploitation par type confusion dans V8 déjà documentées, et confirme que les navigateurs restent une surface d'attaque prioritaire.

Impact et exposition

Tout utilisateur de Chrome ou d'un navigateur basé sur Chromium (Edge, Brave, Opera, Vivaldi) avec une version antérieure au correctif est exposé. L'exploitation ne nécessite aucune interaction au-delà de la visite d'une page web malveillante. Un attaquant ayant compromis le processus de rendu peut exécuter du code arbitraire dans le contexte du navigateur, potentiellement accéder à des données sensibles ou pivoter vers le système d'exploitation sous-jacent. Les environnements où les mises à jour du navigateur ne sont pas centralisées — PME, postes BYOD, terminaux non managés — sont particulièrement à risque. Cette faille s'inscrit dans la même famille que les attaques par canaux auxiliaires GPU qui exploitent la couche graphique des navigateurs.

Recommandations

• Mettre à jour Chrome vers la version 146.0.7680.178 (Windows/Mac) ou 146.0.7680.177 (Linux) immédiatement
• Vérifier la version de tous les navigateurs Chromium déployés dans votre parc (Edge, Brave, Opera) et appliquer les mises à jour correspondantes
• Centraliser la gestion des mises à jour navigateur via GPO ou MDM pour éviter les postes non patchés
• Surveiller les indicateurs de compromission liés à l'exploitation WebGPU dans vos logs de navigation et solutions EDR

Cette quatrième faille zero-day en quatre mois souligne l'importance d'une stratégie de test offensive régulière qui inclut le vecteur navigateur dans son périmètre d'audit.

Sur le plan technique, l'exploitation de CVE-2026-5281 suit un schéma classique de corruption mémoire côté navigateur : le processus de rendu (renderer) exécute du code JavaScript/WebGPU piégé qui déclenche la libération prématurée d'un objet Dawn, puis force sa réutilisation pour écrire des données contrôlées par l'attaquant dans une zone mémoire libérée. Seule, cette primitive permet une exécution de code arbitraire au sein du processus de rendu, mais reste théoriquement contenue par le sandbox de Chrome. Google n'a toutefois pas confirmé si les campagnes observées combinent cette faille avec un second exploit d'évasion de sandbox, un scénario déjà documenté lors des zero-days précédents de 2026 sur V8 et Skia. Cette incertitude justifie un traitement de la vulnérabilité comme potentiellement critique de bout en bout, et non comme un simple crash du renderer.

Comment vérifier si mon navigateur est vulnérable ?

La vérification s'effectue en accédant à chrome://settings/help (ou edge://settings/help, brave://settings/help selon le navigateur). Toute version antérieure à 146.0.7680.178 sur Windows/macOS ou 146.0.7680.177 sur Linux doit être considérée comme exposée. Pour les parcs managés, les administrateurs peuvent interroger la version déployée via GPO (clé de registre SOFTWARE\Policies\Google\Chrome) ou via les outils MDM (Intune, Jamf, Google Workspace Admin) qui exposent généralement un inventaire de versions par poste.

Votre infrastructure est-elle exposée ?

L'exposition dépend moins du système d'exploitation que du canal de mise à jour automatique de Chrome. Les environnements où les mises à jour sont bloquées par une politique GPO stricte, ou différées via un canal Extended Stable, restent vulnérables plus longtemps. Les équipes SOC peuvent croiser les logs proxy/EDR à la recherche de connexions sortantes anormales depuis chrome.exe ou msedge.exe vers des domaines nouvellement enregistrés, indicateur classique de livraison de payload post-exploitation WebGPU.