CVE-2026-87491 : Chrome V8 zero-day exploité, 7e 0-day 2026

Les faits

CVE-2026-87491 est un zero-day dans le moteur JavaScript V8 de Google Chrome, classifié comme out-of-bounds write (écriture hors des limites de mémoire allouée). La vulnérabilité a été découverte par Jihyeon Jeong du Compsec Lab de l'Université nationale de Séoul (Seoul National University) et signalée à Google le 6 août 2026. Google a publié le correctif dans Chrome 153.0.8010.36/.37 pour Windows et macOS, et 153.0.8010.36 pour Linux, via la mise à jour du canal stable du 8 septembre 2026. La CISA a ajouté CVE-2026-87491 à son catalogue Known Exploited Vulnerabilities (KEV) le 9 septembre 2026, avec un délai de remédiation fixé au 23 septembre 2026, confirmant une exploitation active in-the-wild.

Sur le plan technique, V8 est le moteur JavaScript open-source développé par Google, utilisé dans Chrome et dans de nombreux autres projets (Node.js, Electron, Deno). V8 compile le JavaScript en code machine natif à la volée via la compilation JIT (Just-In-Time). Les vulnérabilités out-of-bounds write dans V8 surviennent lorsque le moteur écrit des données en dehors des limites d'un tableau ou d'un buffer alloué en mémoire, corrompant des données adjacentes dans le tas (heap). Pour CVE-2026-87491, un attaquant forge une page HTML contenant du JavaScript malveillant qui, lors de son traitement par V8, provoque cette écriture hors limites, menant à une corruption de mémoire contrôlée exploitable.

La corruption de mémoire résultante peut être utilisée pour rediriger le flux d'exécution vers du code arbitraire contrôlé par l'attaquant, à l'intérieur du sandbox Chrome. Il est important de distinguer deux niveaux d'exploitation : CVE-2026-87491 seule permet l'exécution de code dans le processus renderer de Chrome, qui est sandboxé. Pour une compromission complète du système hôte, l'attaquant devrait enchaîner cette vulnérabilité avec une seconde faille de type sandbox escape — une technique de chaining documentée dans les attaques sophistiquées. Cependant, l'accès au renderer sandboxé est déjà suffisant pour des objectifs très dommageables : vol de cookies de session, extraction de mots de passe enregistrés dans Chrome, accès aux tokens OAuth actifs, lecture de fichiers locaux accessibles au processus Chrome.

CVE-2026-87491 est le septième zero-day Chrome corrigé en 2026, selon le décompte publié par Startup Fortune et Help Net Security. Cette fréquence élevée — sept zero-days en moins de neuf mois — illustre la pression permanente exercée sur le code de V8, qui reste l'une des surfaces d'attaque les plus lucratives et les plus recherchées du paysage de la menace, compte tenu de l'omniprésence de Chrome (environ 65% de parts de marché des navigateurs web mondiaux). Les zero-days Chrome précédents de 2026 incluaient CVE-2026-85046 (V8 type confusion), CVE-2026-85042 (WebRTC use-after-free), et CVE-2026-84352 (WebGL UAF), tous ajoutés au KEV CISA.

Google n'a pas divulgué publiquement les détails techniques complets de l'exploitation, ni l'identité des acteurs malveillants utilisant CVE-2026-87491, ni les organisations ciblées, ni le vecteur de livraison précis. Cette opacité délibérée vise à retarder le développement de variantes par d'autres acteurs, tout en donnant un délai aux utilisateurs pour appliquer le correctif. Jihyeon Jeong, la chercheuse qui a découvert et signalé la faille, a reçu une prime de bug bounty de 2 500 dollars — montant relativement modeste pour un zero-day Chrome exploitable, suggérant une soumission partielle de la chaîne d'exploitation ou une classification de sévérité conservatrice par Google au moment du rapport initial.

Le mécanisme d'exploitation documenté dans les analyses communautaires est le suivant : un attaquant dirige la victime vers une page HTML ou JavaScript malveillante, hébergée soit sur un site contrôlé par l'attaquant, soit injectée via une publicité malveillante (malvertising), soit via un email de phishing contenant un lien piégé. Chrome traite le script dans V8, où le code malveillant déclenche l'out-of-bounds write qui corrompt le tas du processus renderer. La corruption est exploitée via des primitives d'accès mémoire arbitraires, conduisant à l'exécution d'un payload dans le contexte du renderer. Les attaques de type watering hole — piégeage de sites web légitimes fréquentés par des cibles spécifiques — constituent le vecteur de livraison le plus probable au vu du profil de cette classe de vulnérabilité.

La mise à jour Chrome 153 a été déployée automatiquement sur les installations Chrome avec la mise à jour automatique activée. Cependant, Chrome n'applique effectivement sa mise à jour qu'au prochain redémarrage complet du navigateur après téléchargement. Les utilisateurs maintenant Chrome ouvert en permanence sans redémarrage depuis plusieurs jours peuvent donc se trouver sur une version vulnérable même si Chrome a déjà téléchargé le correctif en arrière-plan. La présence de l'icône de rechargement (flèche circulaire) dans la barre d'outils Chrome indique une mise à jour téléchargée mais pas encore appliquée. Ce point est source de fausses impressions de sécurité fréquentes en environnement d'entreprise, où les collaborateurs ne redémarrent pas leurs navigateurs pendant des jours.

Les navigateurs basés sur Chromium partagent le même moteur V8 et sont potentiellement affectés par la même classe de vulnérabilité. Microsoft Edge a publié rapidement un correctif intégrant le fix de CVE-2026-87491 via Windows Update. Opera, Brave, Vivaldi et Samsung Internet publient leurs propres mises à jour à partir du code Chromium upstream mais selon leurs cycles de publication respectifs. En environnement d'entreprise gérant des parcs de navigateurs non-Chrome, il est indispensable de vérifier que les éditeurs concernés ont bien intégré et déployé les correctifs Chromium correspondants à CVE-2026-87491.

Impact et exposition

CVE-2026-87491 affecte potentiellement des milliards d'utilisateurs, Chrome détenant environ 65% de parts de marché des navigateurs web mondiaux. En pratique, l'exploitation nécessite que la victime visite une page malveillante, et l'exécution de code reste confinée au sandbox Chrome sans exploitation secondaire. Néanmoins, les zero-days Chrome sont très prisés par des acteurs sophistiqués pour des campagnes de spear-phishing ciblées contre des personnalités à haute valeur : journalistes, militants, diplomates, dirigeants d'entreprise, personnels de sécurité et chercheurs.

En environnement d'entreprise, les risques sont amplifiés par plusieurs facteurs : les collaborateurs utilisant Chrome pour accéder à des applications SaaS critiques (Microsoft 365, Salesforce, ERP cloud) stockent des tokens de session OAuth dans le processus renderer, rendant leur vol particulièrement dommageable. Les environnements VDI (Virtual Desktop Infrastructure) où Chrome tourne sur des serveurs partagés présentent un risque de compromission multi-utilisateurs. Les entreprises ayant désactivé les mises à jour automatiques Chrome pour des raisons de compatibilité applicative sont particulièrement exposées et doivent déployer manuellement le correctif en urgence.

Le délai CISA KEV au 23 septembre 2026 s'applique formellement aux agences fédérales américaines. Pour les organisations du secteur privé, la CISA recommande de traiter les entrées KEV avec la même urgence. La mise à jour Chrome est une opération de routine déployable en quelques heures via les outils de gestion de parc (SCCM, Intune, Workspace ONE), rendant le délai d'exposition potentiel très court si les équipes IT agissent rapidement. La combinaison d'un vecteur d'exploitation simple (simple visite d'une URL) et d'une exploitation confirmée in-the-wild justifie un traitement en urgence, même pour des organisations dont le modèle de menace exclut les acteurs étatiques.

Recommandations immédiates

• Mettre à jour Google Chrome vers 153.0.8010.36 ou supérieur via Help > À propos de Google Chrome, ou déployer via SCCM/Intune/GPO en ciblant la version minimum 153.0.8010.36
• Redémarrer Chrome après la mise à jour — une mise à jour téléchargée mais non appliquée (icône de rechargement visible) laisse le navigateur vulnérable
• Vérifier et mettre à jour les navigateurs Chromium alternatifs déployés sur le parc : Microsoft Edge, Brave, Opera, Vivaldi via leurs mécanismes de mise à jour respectifs
• Activer et vérifier les mises à jour automatiques Chrome sur les parcs d'entreprise, ou déployer le correctif via les outils de gestion centralisée dans les 24h
• Sensibiliser les utilisateurs à ne pas cliquer sur des liens suspects et à redémarrer Chrome dès qu'une mise à jour est disponible