Chrome 146 : Google corrige deux zero-days Skia et V8 exploités

Les faits

Google a publié le 12 mars 2026 une mise à jour de sécurité urgente pour Chrome 146 corrigeant deux vulnérabilités zero-day découvertes en interne et confirmées comme exploitées dans la nature. Les deux failles ont été identifiées par les équipes de sécurité de Google elles-mêmes le 10 mars 2026, signe que l'exploitation était déjà en cours avant la détection (source : Google Chrome Security Blog).

La première vulnérabilité, CVE-2026-3909, est une écriture hors limites (out-of-bounds write) dans la bibliothèque graphique 2D Skia, composant critique du rendu visuel de Chrome. La seconde, CVE-2026-3910, exploite une implémentation inappropriée dans le moteur JavaScript V8, permettant l'exécution de code arbitraire au sein du sandbox du navigateur. Les deux sont exploitables à distance via une simple page HTML piégée, sans interaction utilisateur au-delà de la visite du site (source : The Hacker News, BleepingComputer).

Impact et exposition

Tout utilisateur de Chrome, Chromium, Edge, Brave ou Opera sur desktop est potentiellement exposé. L'exploitation ne nécessite aucune authentification : il suffit de visiter une page web malveillante. La faille Skia permet de corrompre la mémoire lors du rendu graphique, tandis que la faille V8 ouvre la porte à l'exécution de code dans le contexte du processus de rendu. Combinées, ces vulnérabilités pourraient permettre à un attaquant de s'échapper du sandbox navigateur, comme cela a déjà été observé dans des chaînes d'exploitation V8 documentées.

La CISA a réagi rapidement en ajoutant les deux CVE à son catalogue KEV le 13 mars 2026, imposant aux agences fédérales américaines un délai de correction au 27 mars 2026. Cette réactivité illustre la tendance décrite dans notre analyse sur le time-to-exploit des zero-days en 2026.

Recommandations

• Mettre à jour Chrome immédiatement vers la version 146.0.7680.75 (Windows/Linux) ou 146.0.7680.76 (macOS) — vérifier via chrome://settings/help
• Vérifier que les navigateurs basés sur Chromium (Edge, Brave, Opera) ont également publié leurs correctifs et les appliquer
• Activer les mises à jour automatiques de Chrome sur l'ensemble du parc si ce n'est pas déjà fait via GPO ou MDM
• Surveiller les indicateurs de compromission liés à l'exploitation de Skia et V8 dans les journaux réseau

Ces failles illustrent une fois de plus que le navigateur reste le vecteur d'attaque numéro un sur les postes de travail. Pour une analyse des techniques d'exploitation navigateur avancées, consultez notre article sur les exploits zero-day ciblant les plateformes mobiles, ainsi que notre couverture des zero-days corrigés lors des Patch Tuesday récents.