Google a mis à jour la version bureau de son navigateur Chrome le 9 novembre 2026 (heure américaine), en publiant les versions 157.0.8103.50/.51 pour Windows et macOS et 157.0.8103.50 pour Linux. Cette mise à jour corrige neuf vulnérabilités, dont une — identifiée comme CVE-2026-125350 — pour laquelle du code d’exploitation circule déjà.
CVE-2026-125350 est une vulnérabilité de type use after free dans le traitement XML, une situation où une région mémoire libérée continue d’être référencée. Sa gravité est classée « High », deuxième niveau sur une échelle à quatre niveaux. Elle a été signalée par un chercheur anonyme le 6 novembre 2026, soit trois jours avant la publication du correctif. Google indique sur son blog officiel qu’il « est conscient que du code d’exploitation pour CVE-2026-125350 existe dans la nature », sans préciser toutefois les méthodes d’attaque ni les cibles visées.
Parmi les neuf vulnérabilités corrigées, sept sont qualifiées de « High » et deux de « Medium », aucune n’étant classée « Critical ». Seule CVE-2026-125350 est confirmée comme ayant été exploitée.
Chrome : détails des vulnérabilités corrigées
Voici la liste des neuf vulnérabilités corrigées, avec leur description et le niveau de gravité selon le classement de Google :
CVE-2026-125350 Use after free in XML High (exploitation confirmed)
CVE-2026-125346 Use after free in XML High
CVE-2026-125344 Type confusion in the JavaScript engine V8 High
CVE-2026-125343 Buffer overflow in Compositing High
CVE-2026-125348 Out-of-bounds write in GPU High
CVE-2026-125347 Inappropriate authorization in FileSystem High
CVE-2026-125345 Uninitialized resource in WebGL High
CVE-2026-125349 Uninitialized resource in GPU Medium
CVE-2026-125342 Uninitialized resource in GPU Medium
Note : la gravité est basée sur l’échelle à quatre niveaux utilisée par Google. Seule la vulnérabilité CVE-2026-125350 est confirmée comme ayant du code d’exploitation en circulation.
