Chrome Zero-Day CVE-2026-5281 : faille WebGPU exploitée

Les faits

Le 1er avril 2026, Google a déployé une mise à jour de sécurité de Chrome corrigeant 21 vulnérabilités, parmi lesquelles la CVE-2026-5281, une faille de type use-after-free affectant Dawn, l'implémentation open source du standard WebGPU. Dans un advisory inhabituellement explicite, l'éditeur a confirmé qu'« un exploit pour CVE-2026-5281 existe dans la nature », formulation réservée aux menaces activement exploitées. Le défaut se situe dans la couche graphique du navigateur, exposée à tout contenu web capable d'émettre des commandes GPU : une simple page piégée suffit à provoquer la libération prématurée d'un objet mémoire, puis sa réutilisation contrôlée par l'attaquant. Combinée à une compromission préalable du processus de rendu, la vulnérabilité ouvre la voie à une évasion du bac à sable et à l'exécution de code arbitraire sur le système hôte. La mise à jour immédiate s'impose.

Le 1er avril 2026, la CISA a ajouté cette CVE à son catalogue KEV (Known Exploited Vulnerabilities), imposant aux agences fédérales américaines du0027appliquer le correctif avant le 15 avril 2026. Cu0027est le quatrième zero-day Chrome activement exploité depuis le début de lu0027année 2026, confirmant une tendance du0027accélération des attaques ciblant les navigateurs. Selon SOCRadar, les campagnes du0027exploitation observées utilisent des pages web piégées distribuées par phishing ciblé.

Impact et exposition

Avec plus de 3,5 milliards du0027utilisateurs de navigateurs Chromium dans le monde, la surface du0027attaque est massive. La vulnérabilité affecte toutes les versions de Chrome antérieures à 146.0.7680.177 sur Linux et 146.0.7680.177/178 sur Windows et macOS. Les navigateurs dérivés de Chromium — Microsoft Edge, Brave, Opera et Vivaldi — sont également vulnérables tant que leurs éditeurs respectifs nu0027ont pas intégré le correctif. Lu0027exploitation nécessite que lu0027utilisateur visite une page malveillante, ce qui rend les campagnes de phishing par email particulièrement dangereuses dans ce contexte.

Recommandations

• Mettre à jour Chrome immédiatement vers la version 146.0.7680.177 (Linux) ou 146.0.7680.178 (Windows/macOS) via chrome://settings/help
• Vérifier la version de tous les navigateurs Chromium déployés dans votre parc — un EDR correctement configuré peut détecter les tentatives du0027exploitation
• Sensibiliser les utilisateurs aux risques de phishing ciblé utilisant des pages web piégées
• Surveiller les journaux réseau pour détecter les connexions sortantes suspectes post-navigation

Détails techniques de la vulnérabilité

La CVE-2026-5281 est une faille de type use-after-free localisée dans Dawn, la bibliothèque open source qui implémente le standard WebGPU au sein du moteur Chromium. WebGPU expose au JavaScript un accès bas niveau au GPU pour les calculs graphiques et le machine learning embarqué dans le navigateur — une surface d'attaque récente et encore peu auditée comparée aux moteurs JavaScript historiques (V8) ou de rendu (Blink). Le bug survient lorsqu'un objet mémoire du pipeline de rendu GPU est libéré puis référencé à nouveau par un pointeur obsolète, ce qui permet à un attaquant de manipuler le contenu de la mémoire libérée pour détourner le flux d'exécution. Combinée à une chaîne d'exploitation additionnelle, cette primitive permet potentiellement une évasion du sandbox du processus de rendu, bien que Google n'ait pas confirmé publiquement ce second maillon.

Le score de sévérité attribué en interne par Google est élevé (High), la classification standard pour les use-after-free exploitables à distance dans Chrome. Il s'agit du quatrième zero-day Chrome corrigé en urgence depuis janvier 2026, après les CVE touchant respectivement V8, le moteur ANGLE de rendu graphique et le sous-système de notifications — une cadence qui traduit un déplacement de l'effort offensif vers les composants graphiques et GPU du navigateur, historiquement moins durcis que le moteur JavaScript principal.

Comment vérifier si mon navigateur est vulnérable à CVE-2026-5281 ?

Pour vérifier la version installée, ouvrez chrome://settings/help (ou l'équivalent edge://settings/help, brave://settings/help) : Chrome affiche automatiquement le numéro de build et lance la mise à jour si une version antérieure à 146.0.7680.177/178 est détectée. Un redémarrage complet du navigateur est indispensable pour que le correctif soit effectif — un simple rafraîchissement d'onglet ne suffit pas. Les administrateurs gérant un parc via Google Workspace ou une stratégie de groupe peuvent interroger le statut de version en masse via la console d'administration Chrome Browser Cloud Management ou une requête osquery ciblant la table chrome_extensions et les métadonnées de version binaire sur les postes Windows/macOS/Linux.

Les extensions de navigateur peuvent-elles protéger contre cette faille ?

Non : les extensions de navigateur, y compris les bloqueurs de scripts ou les suites de sécurité, ne peuvent pas neutraliser une vulnérabilité mémoire native au sein du moteur de rendu Dawn/WebGPU. Une extension s'exécute dans un contexte isolé au-dessus du moteur et n'a aucune visibilité sur les opérations bas niveau du pipeline graphique où se produit le use-after-free. La seule mitigation efficace reste la mise à jour du binaire Chrome lui-même. Une mesure de contournement temporaire, en attendant le déploiement du correctif à l'échelle d'un parc, consiste à désactiver WebGPU via le flag chrome://flags/#enable-unsafe-webgpu ou la politique d'entreprise DefaultWebGpuAccessSetting, ce qui réduit la surface d'exposition sans bloquer complètement la navigation.

Votre infrastructure est-elle exposée ?

Toute organisation dont le parc de postes de travail repose sur un navigateur Chromium non managé — c'est-à-dire sans politique de mise à jour automatique forcée via GPO ou MDM — reste exposée tant que l'utilisateur final n'a pas manuellement redémarré son navigateur. Les environnements à forte volumétrie de terminaux (VDI, postes en libre-service, kiosques) et les infrastructures utilisant des navigateurs embarqués dans des applications métier (Electron, CEF) doivent faire l'objet d'un audit spécifique, ces derniers embarquant souvent une version figée de Chromium qui ne bénéficie pas des mises à jour automatiques du navigateur grand public.