Google a publié le 9 novembre 2026 une mise à jour de sécurité de Chrome corrigeant neuf vulnérabilités, dont un zero-day XML (CVE-2026-125350) déjà exploité en conditions réelles, rendant ce correctif prioritaire pour les utilisateurs Windows, macOS et Linux.
Chrome : détails du correctif et versions concernées
La mise à jour corrige les versions 157.0.8103.50/.51 pour Windows et macOS, et 157.0.8103.50 pour Linux. La distribution des correctifs s’effectuera au cours des prochains jours et semaines. Cette livraison fait suite à la précédente mise à jour de sécurité de Chrome 157 ; il est nécessaire d’installer cette nouvelle build pour bénéficier des derniers correctifs.
Description du zero-day XML (CVE-2026-125350)
Selon l’avis du canal Stable, CVE-2026-125350 est une vulnérabilité de type use-after-free dans le composant XML, enregistrée sous l’identifiant d’incident 582442907. Un chercheur anonyme l’a signalée le 6 novembre 2026. Google indique explicitement qu’un exploit existe « en liberté » mais n’a pas identifié d’attaquants, de cibles, de vecteurs de livraison ni les capacités précises de l’exploit.
Une vulnérabilité use-after-free survient lorsqu’un logiciel accède à de la mémoire après l’avoir libérée ; ce type d’erreur peut provoquer un plantage ou, selon les conditions d’exploitation, permettre l’exécution de code. Google n’a toutefois pas confirmé que ces conséquences s’appliquent pour cette faille XML spécifique.
Autres correctifs importants inclus
Sept corrections reçoivent une sévérité élevée. Outre le zero-day exploité, Google a corrigé :
– CVE-2026-125345 : ressource non initialisée dans WebGL (issue 550525698), signalée le 21 août ;
– CVE-2026-125347 : autorisation incorrecte dans FileSystem (issue 561996724), signalée le 15 septembre ;
– CVE-2026-125343 : débordement de tampon dans Compositing (issue 561998123), signalée le 15 septembre. Ces trois vulnérabilités ont été remontées en interne par Google.
D’autres découvertes internes incluent CVE-2026-125348 (écriture hors bornes dans le GPU, issue 563358700), signalée le 18 septembre, et CVE-2026-125344 (type confusion dans V8, issue 568893995), signalée le 2 octobre. Ces éléments touchent des composants déjà couverts par des correctifs antérieurs, sans qu’un lien d’exploitation commun n’ait été établi.
Le dernier correctif à haute sévérité mentionné est CVE-2026-125346, une autre faille use-after-free dans XML (issue 572578603) rapportée le 12 octobre par Arni Hardarson de Neonix Security. Google n’identifie pas cette vulnérabilité comme exploitée. La prime associée reste à déterminer.
Deux corrections de sévérité moyenne concernent des ressources non initialisées dans le GPU : CVE-2026-125349 (issue 536663516), signalée par Google le 20 juillet ; et CVE-2026-125342 (issue 566384898), signalée par Vo Duc Thang, connu sous le pseudonyme ugvxb, le 26 septembre. La prime pour cette dernière reste en attente ; d’autres entrées indiquent une récompense N/A.
Les utilisateurs doivent ouvrir Aide > À propos de Google Chrome, installer la mise à jour disponible et relancer le navigateur. Les administrateurs sont invités à vérifier que les versions correctes sont appliquées sur les dispositifs gérés, comme pour les précédentes vulnérabilités de Chrome activement exploitées. Google peut restreindre les détails techniques jusqu’à ce qu’une majorité d’utilisateurs soit mise à jour ou que des projets tiers dépendants reçoivent des correctifs.
Donnez à votre SOC le contexte d’alerte pour arrêter rapidement les incidents. Intégrez le Threat Intel provenant de 16K SOCs.
