Chrome 157 colmate CVE-2026-125350, huitième zero-day 2026

Ce qui s'est passé

Lundi 10 novembre 2026, Google a publié une mise à jour d'urgence pour son navigateur Chrome corrigeant CVE-2026-125350, une vulnérabilité de type use-after-free dans le moteur de traitement XML embarqué au cœur du navigateur. La faille, classée haute sévérité, fait déjà l'objet d'une exploitation active dans la nature, selon la publication de Google. L'entreprise n'a pas fourni de détails techniques sur les attaques observées, une pratique habituelle destinée à laisser aux utilisateurs le temps de mettre à jour leur navigateur avant que les acteurs malveillants ne disposent de davantage d'informations pour affiner leurs chaînes d'exploitation.

CVE-2026-125350 est une faille use-after-free, une catégorie de vulnérabilité mémoire particulièrement dangereuse. Dans ce type d'attaque, le programme continue d'utiliser un pointeur vers une zone mémoire qui a déjà été libérée. Un attaquant peut alors manipuler cette zone pour y placer des données contrôlées, détourner l'exécution du programme et, dans le pire des cas, exécuter du code arbitraire dans le contexte du processus Chrome. Dans un navigateur moderne, cela peut potentiellement conduire à un sandbox escape et à la compromission complète du système hôte, bien que cela nécessite généralement l'enchaînement de plusieurs vulnérabilités. La combinaison d'un premier bug use-after-free avec un second défaut d'isolation de sandbox constitue un scénario classique dans les chaînes d'exploitation navigateur.

La mise à jour se déploie dans Chrome 157 pour Windows, macOS et Linux. Google a précisé que la version intègre neuf correctifs de sécurité au total, dont CVE-2026-125350 est la plus critique. Les autres failles corrigées incluent plusieurs problèmes de sévérité moyenne et basse selon la note de publication. Pour les utilisateurs professionnels gérant des flottes via Google Admin ou des GPO d'entreprise, les administrateurs sont invités à forcer la mise à jour centralement en priorité sur les postes ayant accès à des ressources sensibles ou traitant des données confidentielles.

Ce qui rend cet incident particulièrement préoccupant, c'est qu'il s'agit du huitième zero-day exploité dans Chrome en 2026. Selon les données compilées par BleepingComputer, le rythme des zero-days exploités dans le navigateur de Google ne faiblit pas d'une année sur l'autre. En 2024 et 2025, le navigateur avait respectivement enregistré dix et huit zero-days exploités sur l'ensemble de l'année. Être déjà à huit en novembre 2026 suggère que Chrome reste une cible prioritaire pour les groupes avancés disposant de capacités de recherche en vulnérabilités significatives.

L'exploitation active de zero-days dans les navigateurs est généralement l'œuvre de deux catégories d'acteurs : les acteurs étatiques ou parrainés par des États, qui ciblent des profils à haute valeur (journalistes, activistes, fonctionnaires, dirigeants d'entreprises stratégiques) via des campagnes de watering hole ou de spear phishing, et les courtiers en exploits comme les fournisseurs de logiciels espions commerciaux. Des groupes ont régulièrement utilisé des exploits Chrome zero-day dans leurs chaînes d'infection. L'absence de détails de Google sur les attaquants ne permet pas, pour l'instant, d'attribuer cette exploitation à un groupe spécifique.

Du côté technique, le composant XML de Chrome est sollicité chaque fois qu'une page web ou une application web embarquée traite du XML, que ce soit du SVG (Scalable Vector Graphics, omniprésent dans les sites modernes), du MathML, ou tout autre contenu XML parsé nativement par le navigateur. SVG en particulier est présent sur la quasi-totalité des sites web modernes pour les icônes, les logos et les illustrations, ce qui rend la surface d'attaque très large. Un simple chargement de page peut suffire à déclencher la vulnérabilité si le site visité a été compromis ou si l'utilisateur est redirigé vers une URL malveillante via un email de phishing ou une publicité malveillante (malvertising).

Pour vérifier si votre navigateur est à jour, rendez-vous dans le menu Chrome (trois points en haut à droite), puis Aide > À propos de Google Chrome. Chrome vérifiera automatiquement et proposera de redémarrer si une mise à jour est disponible. La version corrigée est Chrome 157.0.8026.103 ou supérieure. Les navigateurs basés sur Chromium — Microsoft Edge, Brave, Opera, Vivaldi — publient généralement leurs propres mises à jour dans les heures ou jours suivant un patch Google. Microsoft a publié dans la foulée une mise à jour Edge intégrant le même correctif, recommandant une application immédiate pour tous les utilisateurs.

Pour les entreprises utilisant des politiques de déploiement différé des mises à jour navigateur (pratique courante pour maintenir la stabilité des applications web métier), une exception est fortement recommandée dans ce cas précis compte tenu de l'exploitation active confirmée. Les équipes SOC devraient également surveiller leurs logs proxy pour détecter des tentatives d'accès à des pages suspectes ciblant les postes dont Chrome n'a pas encore été mis à jour. Les indicateurs à surveiller incluent des redirections vers des domaines récemment enregistrés ou des pages générées dynamiquement avec du contenu SVG inhabituel en provenance de sources inconnues.

Pourquoi c'est important

Le navigateur web est devenu l'interface principale d'accès aux applications d'entreprise. Dans la majorité des organisations, les collaborateurs passent l'essentiel de leur journée dans Chrome ou un navigateur basé sur Chromium pour accéder aux outils SaaS (messagerie, ERP, CRM, outils collaboratifs). Cette omniprésence fait du navigateur l'un des vecteurs d'attaque les plus prisés des acteurs malveillants. Compromettre Chrome, c'est potentiellement accéder aux sessions authentifiées, aux cookies, aux mots de passe sauvegardés et aux données d'entreprise transitant par le navigateur — sans qu'aucune interaction supplémentaire de l'utilisateur ne soit nécessaire.

Le rythme soutenu des zero-days Chrome en 2026 — huit en dix mois — reflète à la fois la complexité croissante des navigateurs modernes et l'appétit des acteurs offensifs pour ces vecteurs. Les navigateurs ont absorbé une quantité colossale de fonctionnalités au fil des années — moteurs JavaScript JIT, traitement WebAssembly, décodeurs multimédias, parseurs XML/SVG — augmentant mécaniquement leur surface d'attaque. Chaque nouvelle fonctionnalité est une nouvelle opportunité pour les chercheurs en vulnérabilités, qu'ils travaillent de façon défensive ou offensive. La montée en puissance des programmes de bug bounty a certes favorisé la détection précoce de nombreux bugs, mais n'a pas éliminé la capacité des acteurs offensifs à trouver et exploiter des failles avant la communauté défensive.

Du point de vue de la gestion des risques, cet incident illustre l'importance critique des délais de patching sur les navigateurs. Contrairement aux serveurs ou aux équipements réseau pour lesquels un patch peut nécessiter des tests de compatibilité approfondis, les navigateurs web devraient être patchés quasi immédiatement en cas d'exploitation active confirmée. Les équipes sécurité qui maintiennent des cycles de déploiement mensuels pour les mises à jour navigateur s'exposent à une fenêtre de vulnérabilité inacceptable dans ce type de scénario.

Enfin, cet incident doit rappeler aux responsables sécurité l'importance des contrôles compensatoires : navigation isolée (browser isolation) pour les postes traitant des données sensibles, proxies d'inspection web, règles de détection réseau sur les comportements post-exploitation, et sensibilisation régulière des utilisateurs aux risques liés à la navigation web. La mise à jour est nécessaire, mais non suffisante à elle seule pour une posture de sécurité robuste face à des acteurs sophistiqués capables de chaîner plusieurs vulnérabilités dans une seule chaîne d'attaque.

Ce qu'il faut retenir

• Mettre à jour Chrome vers la version 157.0.8026.103 ou supérieure immédiatement ; vérifier également les navigateurs Chromium-based (Edge, Brave, Opera).
• CVE-2026-125350 est la huitième faille zero-day exploitée dans Chrome en 2026, confirmant que le navigateur reste une cible prioritaire pour les acteurs avancés.
• Les entreprises avec des politiques de mise à jour différée des navigateurs doivent faire une exception en cas d'exploitation active confirmée.