Chrome : Google corrige encore plus d'une centaine de vulnérabilités

Google fait passer Chrome à la version 154 sur Windows, Mac et Linux. Cette mise à jour comble 108 failles de sécurité, dont 11 critiques. Aucune n'était exploitée au moment de la publication du correctif.

En début de mois, nous rapportions que Chrome 153 corrigeait 230 vulnérabilités, dont une faille zero-day déjà exploitée dans le moteur V8. Cette fois, Google boucle un nouveau lot de correctifs, répartis sur l'ensemble du navigateur.

ANGLE, le moteur graphique, à l'origine de plusieurs failles critiques

Google a trouvé 76 de ces failles en interne. Les 32 autres viennent de chercheurs externes, récompensés à hauteur de 18 000 dollars au total. 11 de ces failles sont critiques, 25 sont à haut risque, 47 à risque moyen et 25 à faible risque. 34 d'entre elles sont des "use-after-free", une erreur qui survient quand le navigateur continue d'utiliser une zone mémoire déjà libérée, avec un risque de plantage ou, plus rarement, d'exécution de code malveillant. On trouve aussi des problèmes d'autorisation, incorrecte dans 12 cas et manquante dans 11 autres, ainsi que 12 interfaces trompeuses, où une page affiche autre chose que ce qu'elle exécute réellement.

3 de ces failles critiques touchent ANGLE, la bibliothèque qui traduit les instructions graphiques de Chrome (WebGL notamment) vers le matériel de l'ordinateur. Ce sont des débordements de mémoire tampon lorsque le navigateur écrit des données au-delà de l'espace qui leur est réservé. Cela peut corrompre d'autres données en mémoire. L'une d'elles, CVE-2026-95350, a valu 5 000 dollars à l'équipe STAR Labs SG. Une autre, CVE-2026-95357, correspond à une écriture hors limites dans le processus GPU de Chrome et a été payée 2 500 dollars.

Le reste des correctifs à haut risque concerne surtout V8, le moteur qui fait tourner le JavaScript et le WebAssembly dans Chrome. Google y a corrigé des confusions de type et des écritures hors limites, repérées en partie par ses propres outils d'analyse automatique, en partie par des audits externes, dont un mené par OpenAI Codex Security.

Concrètement, la mise à jour correspond aux versions 154.0.8037.57 ou .58 sous Windows et Mac, et 154.0.8037.57 sous Linux. Chrome pour Android passe aussi en 154.0.8037.57, et Chrome pour iOS en 154.0.8037.55. Elle s'installe normalement toute seule, mais peut être forcée via le menu à trois points puis Aide > À propos de Google Chrome. La prochaine version, Chrome 155, est attendue dans environ deux semaines.