CERT-In alerte les utilisateurs de Chrome : Google corrige 37 failles de sécurité, dont sept critiques

Les utilisateurs d’ordinateurs de bureau invités à installer les correctifs de sécurité de Chrome

L’équipe indienne d’intervention d’urgence informatique, CERT-In, a publié le 14 octobre 2026 un avertissement concernant des vulnérabilités de Google Chrome qui pourraient permettre à des attaquants d’exécuter du code malveillant, d’obtenir des informations sensibles ou de perturber le fonctionnement des ordinateurs concernés. La veille, Google avait publié des correctifs pour 37 failles de sécurité, dont sept classées comme critiques.

Les versions concernées sont les versions de Chrome antérieures à la 155.0.8059.79 sous Linux et à la 155.0.8059.79/.80 sous Windows et macOS. Les utilisateurs doivent ouvrir la page « À propos de Chrome », rechercher une mise à jour et relancer le navigateur lorsqu’ils y sont invités pour terminer son installation.

Dans son annonce de mise à jour pour ordinateur de bureau, datée du 13 octobre, Google recense sept vulnérabilités critiques, 29 de gravité élevée et une de gravité moyenne. Ces failles touchent les graphismes, les documents, le réseau, les mots de passe et le logiciel qui exécute les instructions des sites web.

Google indique que le déploiement prendra plusieurs jours ou semaines. Les personnes qui vérifient immédiatement la disponibilité de la mise à jour devront donc peut-être recommencer lorsque celle-ci sera proposée à davantage d’ordinateurs.

Quelles versions doivent être mises à jour ?

L’avertissement de CERT-In concerne la version de bureau de Chrome sous Windows, macOS et Linux. Le Centre de coordination de l’équipe d’intervention d’urgence informatique de Hong Kong, HKCERT, indique les mêmes versions concernées et recommande d’installer les correctifs du fournisseur.

• Linux : installer Chrome 155.0.8059.79 ou une version ultérieure.
• Windows : installer Chrome 155.0.8059.79/.80 ou une version ultérieure.
• macOS : installer Chrome 155.0.8059.79/.80 ou une version ultérieure.

Le numéro de version est important, car les correctifs sont distribués par la mise à jour du navigateur. Un ordinateur peut continuer à ouvrir des sites web normalement tout en exécutant une version qui présente ces failles. Pour les particuliers, il s’agit de vérifier chaque ordinateur. Pour les organisations, il faut déterminer quelles machines ont reçu la mise à jour et ont été relancées comme requis.

Le numéro de version de Chrome figure dans le menu « Aide », puis « À propos de Google Chrome », accessible depuis les trois points en haut à droite du navigateur. Cette page vérifie également si une mise à jour est disponible.

Sept failles critiques touchent des fonctions essentielles du navigateur

Google classe CVE-2026-110152 comme un dépassement de tampon critique dans ANGLE, un composant graphique utilisé par Chrome. Un tampon est une zone mémoire réservée au stockage de données. Il y a dépassement lorsque le logiciel écrit au-delà des limites de cette zone, ce qui peut endommager les données voisines ou permettre à un attaquant d’interférer avec l’exécution d’un programme.

D’après l’avis de mise à jour de Google, Zhenpeng (Leo) Lin, de depthfirst, a signalé la vulnérabilité d’ANGLE le 30 septembre. Ses conséquences possibles comprennent des plantages et l’exécution de code malveillant.

Les six autres vulnérabilités critiques sont des erreurs d’utilisation de mémoire après libération. Elles touchent les composants Browser, PDF, Network, Core, SVG et Media, qui assurent des fonctions allant du traitement des documents et des graphiques aux communications réseau.

Une erreur d’utilisation de mémoire après libération survient lorsque le logiciel continue d’utiliser une zone mémoire après l’avoir libérée. On peut imaginer un programme qui traite un ancien emplacement de stockage comme si son contenu lui appartenait encore, alors que cet espace peut désormais contenir autre chose. Un attaquant peut parfois influencer le nouveau contenu et perturber ou détourner le programme.

Google donne les six identifiants critiques suivants : CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 et CVE-2026-110151. Avec la faille d’ANGLE, elles représentent sept des 37 correctifs, soit environ un sur cinq.

Que peut-il se passer sur un ordinateur concerné ?

CERT-In avertit que l’exploitation de ces failles pourrait entraîner l’exécution de code arbitraire, la divulgation d’informations sensibles ou un déni de service. Concrètement, cela signifie exécuter des instructions choisies par un attaquant, exposer des données privées ou empêcher un logiciel de fonctionner correctement.

Dans son bulletin de sécurité sur Chrome, également daté du 14 octobre, HKCERT mentionne deux autres conséquences possibles : une élévation de privilèges et un contournement des restrictions de sécurité. La première consiste à obtenir des autorisations normalement refusées ; le second, à contourner une règle de protection.

HKCERT attribue au bulletin un niveau de risque moyen, tandis que Google classe sept failles individuelles comme critiques. Ces évaluations portent sur des périmètres différents : HKCERT attribue une note au bulletin dans son ensemble, tandis que Google évalue séparément chaque vulnérabilité. HKCERT recommande d’appliquer les correctifs.

Le bulletin de HKCERT répertorie les identifiants CVE-2026-110136 à CVE-2026-110172, une séquence qui comprend les 37 identifiants. Les numéros CVE servent de références pour permettre aux éditeurs de logiciels et aux administrateurs de suivre les mêmes problèmes de sécurité dans les avis et les mises à jour.

Les mots de passe, JavaScript et les documents sont également concernés

Parmi les 29 correctifs de gravité élevée recensés par Google, plusieurs concernent V8, le moteur JavaScript de Chrome. JavaScript fournit les instructions qui rendent de nombreux sites web interactifs. Une faille du moteur peut être exploitée lorsque le navigateur traite ces instructions.

Les vulnérabilités de V8 comprennent une confusion de types, CVE-2026-110140, et deux erreurs d’utilisation de mémoire après libération, CVE-2026-110168 et CVE-2026-110169. Une confusion de types survient lorsqu’un logiciel traite une donnée comme si elle était d’un autre type, ce qui peut entraîner des opérations mémoire dangereuses.

Le composant Passwords de Chrome compte trois failles de gravité élevée : une fuite d’informations et deux erreurs d’utilisation de mémoire après libération. D’autres correctifs concernent Extensions, WebRTC, DOM, Canvas et PDFium. Ces composants gèrent les extensions, les communications du navigateur, la structure des pages web, le dessin et le traitement des PDF.

Google signale également des failles liées aux autorisations dans ReadingMode, Installer, Updater et Mojo. Une erreur d’autorisation, par exemple, concerne la vérification par un programme du droit d’effectuer une action. La seule faille de gravité moyenne est une vulnérabilité d’utilisation de mémoire après libération dans FileSystem, identifiée sous le numéro CVE-2026-110142.

L’ampleur de cette liste explique pourquoi la mise à jour est importante au-delà d’une activité de navigation particulière. Chrome traite du texte, des scripts, des graphiques, des documents et des données réseau ; cette version corrige des failles dans plusieurs de ces processus.

Qui a signalé les vulnérabilités ?

D’après les remerciements de Google, Xinyang Ge, d’Anthropic, a signalé le 28 septembre la vulnérabilité de V8 de gravité élevée CVE-2026-110169, avec l’aide de Claude. L’avis mentionne le chercheur, l’organisation et l’assistance reçue, sans donner davantage de précisions sur le rôle de Claude.

Google remercie également Xinyang Ge pour plusieurs autres découvertes, dont des vulnérabilités critiques dans PDF, SVG et Media. Google a lui-même signalé les erreurs critiques de Browser, Network et Core. Parmi les autres contributeurs cités figurent Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa et Andrew Boni.

Les dates de signalement montrent que cette version regroupe des vulnérabilités découvertes sur plusieurs mois. La liste de Google comprend une vulnérabilité dans Bindings signalée le 25 mars et des vulnérabilités plus récentes dans Media, signalées le 6 octobre. Elles sont corrigées ensemble dans cette version stable.

Pourquoi certains détails techniques restent-ils restreints ?

Google indique que l’accès à certaines fiches de vulnérabilité pourra rester restreint le temps que les utilisateurs reçoivent la mise à jour. Srinivas Sista, qui a publié l’annonce de mise à jour pour Google Chrome, a expliqué la politique de divulgation de l’entreprise :

L’accès aux détails des vulnérabilités et aux liens peut rester restreint jusqu’à ce que la majorité des utilisateurs ait installé un correctif.

Google précise également que ces restrictions peuvent être maintenues lorsqu’une vulnérabilité concerne une bibliothèque utilisée par d’autres projets qui ne l’ont pas encore corrigée. Une bibliothèque est un composant logiciel réutilisable ; une même erreur sous-jacente peut donc nécessiter l’intervention de plusieurs équipes de développement.

L’avis de mise à jour nomme les composants concernés et les types d’erreurs, tout en limitant l’accès à certains dossiers techniques plus détaillés. Pour les utilisateurs, l’information pratique est le numéro de version qui intègre les correctifs. Pour les administrateurs, les identifiants permettent de rapprocher cette mise à jour des outils de suivi des vulnérabilités et des inventaires logiciels.

Des signalements de chercheurs à l’avertissement public

Les dates clés retracent le cheminement des découvertes individuelles jusqu’à la mise à jour du navigateur, puis aux avertissements publics de sécurité :

• 28 septembre 2026 : Xinyang Ge, d’Anthropic, signale CVE-2026-110169 dans V8, avec l’aide de Claude.
• 30 septembre : Zhenpeng (Leo) Lin, de depthfirst, signale le dépassement de tampon critique dans ANGLE.
• Du 1er au 6 octobre : Google et d’autres chercheurs signalent plusieurs autres vulnérabilités critiques et de gravité élevée incluses dans la mise à jour.
• 13 octobre : Google annonce la mise à jour stable de Chrome, qui comprend 37 correctifs de sécurité.
• 14 octobre : CERT-In publie son avertissement et HKCERT son bulletin, qui couvre les mêmes 37 identifiants.

La date de publication de Google marque le début du déploiement. Celui-ci devant durer plusieurs jours ou semaines, il se poursuivra après l’annonce. Il est donc utile de vérifier à nouveau les ordinateurs sur lesquels aucune mise à jour n’était initialement proposée.

Comment effectuer la mise à jour

Les utilisateurs de Chrome peuvent lancer la procédure depuis l’écran de mise à jour intégré au navigateur. Les étapes sont simples :

• Ouvrez Chrome et sélectionnez le menu à trois points, en haut à droite.
• Sélectionnez « Aide », puis « À propos de Google Chrome ».
• Laissez Chrome rechercher et télécharger une éventuelle mise à jour.
• Enregistrez tout travail en cours et sélectionnez « Relancer » si le navigateur vous y invite.
• Retournez sur la page « À propos de Google Chrome » pour vérifier la version installée.

La relance est importante : télécharger la mise à jour et utiliser la version actualisée du navigateur sont deux étapes distinctes. Laisser ouverte une ancienne session de navigation peut retarder la fin de l’installation.

Les organisations doivent vérifier les versions installées sur leurs ordinateurs de bureau, y compris sur les appareils dont les utilisateurs ferment rarement le navigateur. L’objectif concret est de confirmer que les machines exécutent la version qui contient les correctifs et que tout redémarrage requis a bien été effectué.

Les utilisateurs qui ne voient pas encore la mise à jour doivent vérifier de nouveau au cours de son déploiement par Google. L’avis officiel prévoit plusieurs jours ou semaines de distribution, au lieu de garantir que tous les ordinateurs la recevront dès le jour de l’annonce.

Les utilisateurs d’Edge doivent également surveiller l’arrivée des correctifs

Microsoft Edge utilise Chromium, la plateforme de navigation qui sert également de base à Chrome. Certaines vulnérabilités de ce logiciel commun peuvent donc nécessiter des correctifs dans Edge également.

Dans un avis daté du 13 octobre, Microsoft a reconnu les derniers correctifs de sécurité de Chromium et indiqué travailler à une mise à jour. Au moment de l’avertissement, la mise à jour de sécurité correspondante pour le canal stable n’avait pas encore été publiée et Microsoft n’avait communiqué aucune date de sortie.

Les utilisateurs d’Edge doivent rechercher la mise à jour de Microsoft dès qu’elle sera disponible. Les personnes qui utilisent les deux navigateurs doivent vérifier chacun d’eux : Chrome reçoit sa mise à jour de sécurité de Google, tandis qu’Edge la reçoit de Microsoft.

À retenir

• Le 14 octobre 2026, CERT-In a averti les utilisateurs de Chrome sur ordinateur de vulnérabilités susceptibles d’exposer des données, de perturber des logiciels ou de permettre l’exécution de code malveillant.
• La mise à jour de Google du 13 octobre corrige 37 failles : sept critiques, 29 de gravité élevée et une de gravité moyenne.
• Les versions corrigées sont la 155.0.8059.79 pour Linux et la 155.0.8059.79/.80 pour Windows et macOS, ou toute version ultérieure.
• Les utilisateurs doivent ouvrir « Aide », puis « À propos de Google Chrome », installer la mise à jour et relancer le navigateur lorsqu’ils y sont invités.
• Google indique que le déploiement peut prendre plusieurs jours ou semaines. Microsoft n’avait pas annoncé de date pour la mise à jour correspondante du canal stable d’Edge.