Faille Chrome exploitée : mettez à jour et relancez
Google a corrigé le 9 novembre une faille de Chrome déjà exploitée. La version à avoir, pourquoi il faut relancer le navigateur et quoi vérifier au bureau.
Le lundi 9 novembre 2026, Google a publié une mise à jour d’urgence de Chrome pour corriger CVE-2026-125350, une faille déjà exploitée par des attaquants. Le lendemain, l’agence américaine de cybersécurité CISA l’a ajoutée à son catalogue des vulnérabilités activement exploitées. Si vos équipes utilisent Chrome, comme dans la plupart des bureaux, mieux vaut vérifier dès aujourd’hui.
Ce qui a été corrigé
D’après le blog officiel des versions de Chrome, la mise à jour fait passer Chrome pour ordinateur à la version 157.0.8103.50 ou .51 sous Windows et Mac, et 157.0.8103.50 sous Linux. Il s’agit d’une faille de gravité élevée de type « use-after-free » (utilisation d’une zone mémoire déjà libérée) dans le composant qui traite le XML. Google indique savoir qu’un exploit circule et garde les détails techniques confidentiels tant que la majorité des utilisateurs n’a pas fait la mise à jour.
BleepingComputer précise que c’est la huitième faille « zero-day » de Chrome exploitée depuis le début de l’année. The Hacker News rapporte que, selon la description publique, une page web piégée pourrait exécuter du code dans le bac à sable de Chrome, et que les agences fédérales américaines ont jusqu’au 24 novembre pour corriger. Google n’a pas dit qui est derrière ces attaques ni qui est visé.
Pourquoi la mise à jour automatique ne suffit pas
Chrome télécharge ses mises à jour en arrière-plan, mais la correction ne s’applique qu’une fois le navigateur fermé puis rouvert. Beaucoup de gens laissent Chrome ouvert des jours, voire des semaines, avec des dizaines d’onglets : l’ordinateur peut avoir la mise à jour en attente tout en utilisant encore la version vulnérable. Dans une petite structure, c’est souvent là que se trouve le trou.
Que faire au bureau
- Vérifiez chaque poste. Dans Chrome, ouvrez le menu, puis Aide, puis À propos de Google Chrome. Le navigateur télécharge la mise à jour si besoin. Cliquez sur Relancer et vérifiez que la version affichée est 157.0.8103.50 ou plus récente.
- Demandez à chacun de relancer le navigateur. Un simple message du type « fermez et rouvrez Chrome avant midi » règle le problème plus vite que d’attendre un redémarrage. Chrome rouvre les onglets après la relance.
- Pensez aux portables en déplacement et aux ordinateurs partagés ou d’accueil sur lesquels personne ne se connecte tous les jours.
- Mettez à jour les autres navigateurs basés sur Chromium, comme Microsoft Edge, Brave ou Opera, au fur et à mesure que leurs éditeurs publient des correctifs. Ils partagent une grande partie du code de Chrome : consultez leur page « À propos » dans les prochains jours.
- Si vos postes sont gérés de façon centralisée, vérifiez dans la console que les appareils remontent bien la nouvelle version, et envisagez d’imposer un délai maximal de relance pour qu’aucun navigateur ne reste longtemps à la traîne.
La leçon à retenir
Les failles de navigateur intéressent les attaquants parce qu’une seule visite sur une page piégée peut suffire. La parade n’a rien de spectaculaire mais elle fonctionne : appliquer vite les mises à jour, et que quelqu’un vérifie qu’elles sont réellement installées. Ce correctif arrive la même semaine que celui de la faille zero-day d’Outlook corrigée en novembre.
Si le suivi des mises à jour sur tous les postes vous échappe, notre service de gestion des correctifs prend en charge les mises à jour du système, des navigateurs et des logiciels, et signale ce qui reste à faire, dans le cadre de nos services informatiques infogérés. Appelez le (213) 986-4855 pour en parler.