Google dégaine une mise à jour géante pour corriger 370 failles dans Chrome

Chrome 151 débarque avec un impressionnant lot de correctifs de sécurité. Google colmate 370 vulnérabilités, parmi lesquelles sept failles critiques touchant la mémoire, le moteur graphique et le système de mise à jour du navigateur.

Google vient de lancer le déploiement de Chrome 151.0.7922.71 et 151.0.7922.72 sur Windows et macOS, ainsi que de la version 151.0.7922.71 sur Linux. Cette nouvelle mouture, distribuée progressivement durant les prochains jours, corrige pas moins de 370 failles de sécurité dans le navigateur. Le bilan comprend sept vulnérabilités critiques, 71 de gravité élevée, 170 moyennes et 122 faibles, moins de deux semaines après la diffusion en urgence d’un patch déjà costaud. Fait rassurant, malgré tout, aucune n’est a priori actuellement exploitée dans des attaques.

Sept failles critiques dans les entrailles de Chrome

Les vulnérabilités les plus graves touchent Compositing, Dawn, Views, Skia, ANGLE, Ozone et Chrome Updater. Plusieurs sont des failles de type use after free, provoquées lorsque le navigateur tente de réutiliser une zone de mémoire déjà libérée. Elles peuvent entraîner un plantage, corrompre la mémoire et, dans les scénarios les plus dangereux, permettre l’exécution de code malveillant.

À titre d’information, Dawn et ANGLE interviennent dans le traitement graphique, notamment pour WebGPU et WebGL. Skia prend en charge le rendu des images et des éléments visuels, Views sert à construire l’interface de Chrome, comme les fenêtres, les menus ou les boutons, Ozone assure la liaison entre le navigateur et le système d’exploitation pour l’affichage, la gestion des fenêtres et les périphériques d’entrée, tandis que Compositing assemble les différentes couches affichées à l’écran. Une autre faille critique affecte le programme de mise à jour de Chrome à travers une condition de concurrence susceptible de perturber le déroulement de plusieurs opérations simultanées.

Google garde encore les détails techniques sous clé. L’entreprise attend qu’une majorité d’utilisateurs et utilisatrices ait installé les correctifs avant d’en dire davantage, afin de ne pas faciliter la création d’exploits.

370 failles, mais pas 370 menaces identiques

Ce chiffre spectaculaire ne représente pas 370 vulnérabilités directement exploitables depuis n’importe quelle page web. La liste couvre l’ensemble du projet Chromium et comprend aussi des problèmes propres à Chrome pour iOS, WebView, Chromecast, aux extensions ou aux environnements professionnels. Toutes les failles ne concernent donc pas Chrome Desktop de la même façon.

Un bilan hors norme qui reflète en partie l’efficacité des outils automatisés utilisés par Google pour repérer les erreurs de mémoire, les plantages et les comportements anormaux pendant le développement, mais qui résulte aussi du fonctionnement des mises à jour majeures de Chrome. La version 151 du navigateur centralise des correctifs accumulés durant tout son cycle de préparation, la plupart des signalements remontant à la période comprise entre mars et juin 2026, et pas uniquement les failles découvertes juste avant sa sortie.

Malgré tout, la liste comprend quelques dossiers bien plus anciens, parmi lesquels une fuite d’informations par canal auxiliaire dans le remplissage automatique, signalée dès août 2021, un défaut de politique de sécurité dans DevTools découvert en octobre 2024, ainsi que deux problèmes liés aux extensions et au remplissage automatique remontant à novembre 2025. Un retard qui tient probablement davantage à la faible priorité de ces dossiers ou à la complexité de leur correction qu’à une urgence laissée sans réponse.

Chrome doit se mettre à jour automatiquement, mais le déploiement progressif peut retarder son arrivée. Pour lancer la vérification manuellement, il suffit d’ouvrir le menu Aide, puis À propos de Google Chrome. Il faudra ensuite relancer le navigateur pour appliquer les correctifs.