Google publie une mise à jour urgente pour Chrome et corrige sept failles de sécurité, dont trois critiques

Chrome vient de recevoir un important correctif de sécurité. Derrière cette mise à jour se cachent plusieurs failles mémoire capables, dans le pire des cas, d’ouvrir la voie à l’exécution de code malveillant.

Sept failles d’un coup, dont trois critiques, rien que ça. Google vient de publier une mise à jour de sécurité pour Chrome afin de corriger plusieurs vulnérabilités liées à la gestion de la mémoire du navigateur. Les plus graves touchent la capture vidéo, le processeur graphique et les fonctions réseau. Google ne fait état d’aucune exploitation active, mais le CERT-FR a émis dès le lendemain un avis de sécurité visant toutes les versions antérieures aux builds corrigés. Raison de plus pour appliquer le patch rapidement.

Trois failles critiques dans des composants clés de Chrome

Dans le détail, CVE-2026-15899 touche CameraCapture. Ce nom ne désigne pas la webcam elle-même, mais le composant de Chromium qui communique avec les caméras reconnues par le système et récupère leur flux vidéo lorsqu’un site ou un service de visioconférence y accède. Rien ne permet toutefois d’affirmer que la faille autorise directement l’activation de la caméra ou l’espionnage de ses images.

CVE-2026-15900 concerne le processus GPU, chargé de transmettre les opérations graphiques au processeur graphique afin d’accélérer l’affichage des pages, des animations, des vidéos ou encore des contenus WebGL. CVE-2026-15901 se trouve quant à elle dans le composant Network, qui gère les échanges entre Chrome et Internet, du chargement des ressources aux connexions réseau, en passant par le cache, les proxys et la résolution DNS.

Toutes les trois sont des failles de type use-after-free : Chrome continue d’utiliser un objet après avoir libéré la zone de mémoire qui l’hébergeait. Si un attaquant parvient à remplacer son contenu par des données préparées à cet effet, il peut provoquer un plantage, corrompre la mémoire et, dans le pire des cas, détourner l’exécution du programme pour lancer du code malveillant.

Leur classement critique confirme que le risque dépasse le simple crash, mais Google limite encore l’accès aux rapports techniques afin d’éviter que ces informations servent à concevoir un exploit avant le déploiement généralisé du correctif. Impossible donc de savoir si une simple visite sur une page piégée suffit, si une autorisation particulière est nécessaire ou si ces failles doivent être combinées avec une autre vulnérabilité.

Quatre autres failles corrigées, Chrome doit redémarrer

Quatre vulnérabilités classées de gravité élevée complètent le bulletin. CVE-2026-15902 touche Cast, utilisé pour diffuser du contenu vers un téléviseur ou un appareil compatible. CVE-2026-15904 concerne Ozone, qui relie Chromium aux systèmes graphiques et de saisie de la plateforme, tandis que CVE-2026-15905 affecte Aura, le framework chargé de l’interface et du fenêtrage. Enfin, CVE-2026-15903 touche V8, le moteur JavaScript de Chrome.

Les trois premières sont elles aussi des failles de type use-after-free. La quatrième permet de lire et d’écrire en dehors des limites prévues de la mémoire, et expose Chrome aux mêmes risques de plantage, de corruption de la mémoire ou d’exécution de code malveillant.

Les correctifs sont intégrés à Chrome 150.0.7871.128/.129 sous Windows et macOS, et à Chrome 150.0.7871.128 sous Linux. La mise à jour est normalement téléchargée et installée automatiquement, mais vous pouvez aussi lancer une recherche manuelle depuis Aide > À propos de Google Chrome. Dans les deux cas, il faudra redémarrer le navigateur pour appliquer le patch.