Google a publié en urgence la version stable 138.0.7204.157/.158 de son navigateur Chrome pour Windows, Mac et Linux. Cette mise à jour est d'une importance majeure, car elle corrige plusieurs failles de sécurité à haut risque, dont une vulnérabilité « zéro-day » dans le composant GPU qui a déjà été exploitée par des attaquants.
Google recommande vivement à tous les utilisateurs de procéder à la mise à jour sans délai pour se protéger des risques potentiels.
Une faille Zéro-Day déjà exploitée
Selon l'annonce officielle de Google, cette mise à jour résout pas moins de six failles de sécurité, touchant des composants clés tels que le moteur V8, ANGLE, le GPU et WebRTC. La vulnérabilité CVE-2025-6558 est particulièrement préoccupante.
Il s'agit d'une faille de haute gravité liée à ANGLE (Almost Native Graphics Layer Engine) et au composant GPU, caractérisée par une validation insuffisante lors du traitement d'entrées non vérifiées, ce qui peut laisser passer plus de requêtes que nécessaire, y compris les plus malveillantes. Le groupe d'analyse des menaces de Google a confirmé avoir observé des attaques ciblant activement cette vulnérabilité. Pour éviter d'aggraver son exploitation, Google a décidé de ne pas divulguer les détails techniques complets de cette faille tant que la majorité des utilisateurs n'auront pas mis à jour leur navigateur.
D'autres correctifs majeurs réalisés
La mise à jour de Chrome corrige également d'autres problèmes majeurs, notamment un débordement d'entiers (integer overflow) dans le moteur JavaScript V8 (CVE-2025-7656) et une vulnérabilité de type « use-after-free » dans le composant WebRTC (CVE-2025-7657). Dans certaines conditions, ces faiblesses pourraient permettre à des attaquants d'inciter le navigateur à exécuter du code malveillant, mettant ainsi en péril les données des utilisateurs et la sécurité du système.
Certaines de ces vulnérabilités ont été signalées par des chercheurs externes en sécurité, tandis que d'autres ont été découvertes lors des audits de sécurité internes de Google et grâce à des outils de détection automatisés comme AddressSanitizer, MemorySanitizer et libFuzzer.
Afin de prévenir de nouvelles attaques, Google a temporairement restreint la publication de certaines informations sur ces failles. Google ne dévoilera pas plus d'informations à ce sujet tant que la majorité des utilisateurs n'auront pas fait la mise à jour, et tant que de plus amples vérifications sur des bibliothèques externes n'auront pas été contrôlées.
Source : iThome
