Chrome 156 est disponible depuis quelques jours sur Windows, macOS et Linux. Cette version corrige 353 failles de sécurité, dont six jugées critiques, et, une fois encore, plusieurs signalements sont crédités à des outils d’IA.
Google déploie la mise à jour progressivement, sur plusieurs jours ou semaines, avec les versions 156.0.8078.47 (Linux) et 156.0.8078.47 ou .48 (Windows et Mac). L’entreprise n’a mentionné aucune exploitation active de ces failles.
Six failles critiques, dont deux signalées avec des outils d’IA
Les vulnérabilités touchent Skia (la bibliothèque qui dessine les éléments graphiques), Accessibility (les fonctions d’assistance), CSS (la mise en forme des pages), Paint (l’affichage) et WebRTC (les appels audio et vidéo dans le navigateur). Cinq sont classées « corruption de mémoire », lorsqu’un un programme lit ou modifie une zone de mémoire qu’il ne devrait pas toucher. La sixième, dans Accessibility, est un « use-after-free », c’est-à-dire quand le programme réutilise une zone mémoire qu’il avait déjà libérée. Ce type d’erreur crée un risque de sécurité, mais Google ne décrit aucune chaîne d’attaque. Les détails des bugs peuvent d’ailleurs rester inaccessibles tant qu’une majorité d’utilisateurs n’a pas reçu le correctif.
Côté découvertes, Google a remonté lui-même la faille Skia. Xinyang Ge est crédité pour quatre des six failles critiques, mais seul le use-after-free d’Accessibility mentionne Anthropic et l’assistance de Claude. Celle de WebRTC, signalée le 15 octobre, est créditée à OpenAI Codex Security. Sur l’ensemble de la liste, cinq entrées citent l’aide de Claude et quatre sont attribuées à Codex Security.
- Navigation rapide
- Écosystème d'extensions très riche
- Synchronisation multi-appareils fluide
Déjà, avec Chrome 151, Google avait déployé 370 correctifs. Les versions majeures de Chrome ne corrigent pas seulement les failles trouvées juste avant sa sortie. Elles regroupent celles qui s’accumulent au fil des mois, voire sur plusieurs années. Pour Chrome 151, les signalements remontaient surtout à mars-juin 2026. Pour cette dernière mouture, nous retrouvons un schéma assez similaire. La plupart des signalements datent de 2026, mais quelques-uns sont bien plus anciens, jusqu’à 2018.
Les failles particulièrement sensibles touchent notamment ANGLE, le moteur JavaScript V8, GPU, Network et FileSystem. Google verse 10 000 dollars pour un use-after-free dans SiteIsolation (le mécanisme qui cloisonne chaque site dans un processus distinct), signalé par Quyen Son (VinFast).
