BlockBeats : Le 10 novembre, Google a publié une mise à jour d'urgence sur le canal stable pour le navigateur Chrome sur ordinateur, prévue pour le 9 novembre 2026, corrigeant neuf vulnérabilités de sécurité, dont une zero-day déjà exploitée en milieu réel. Cette mise à jour fait passer les versions de Chrome sur Windows et Mac à 157.0.8103.50/.51, et celle sur Linux à 157.0.8103.50, et sera progressivement déployée au cours des prochains jours à semaines.
Le point central de cette mise à jour est la vulnérabilité critique identifiée sous le numéro CVE-2026-125350, de type use-after-free dans un composant XML. Google a clairement indiqué dans son annonce : « Il est connu que CVE-2026-125350 est exploitée dans la nature », mais n'a pas révélé les méthodes d'attaque précises, l'étendue des victimes ou l'origine des activités d'attaque. Cette vulnérabilité a été signalée par un chercheur anonyme le 6 novembre 2026, soit seulement trois jours avant la publication du correctif par Google.
Sur les 9 correctifs, 7 sont classés comme « critiques » et 2 comme « moyens ». Outre CVE-2026-125350, une autre vulnérabilité critique, CVE-2026-125346, concerne également un problème d'utilisation après libération dans le composant XML, signalé par Arni Hardarson de Neonix Security le 12 octobre 2026, mais Google n'a marqué que CVE-2026-125350 comme exploitée dans la nature. Les autres vulnérabilités critiques couvrent des ressources WebGL non initialisées, une autorisation incorrecte de FileSystem, un débordement de tampon du compositeur, une écriture hors limites du GPU et une confusion de type V8, la plupart découvertes par l'équipe de sécurité interne de Google.
Google a également confirmé que la version Android de Chrome (157.0.8103.50) publiée le même jour inclut les mêmes correctifs de sécurité que la version bureau, sans exception mentionnée. Les utilisateurs du canal étendu (Extended Stable) doivent installer la mise à jour publiée séparément le 9 novembre, avec les versions Windows et Mac en 156.0.8078.96, qui inclut également CVE-2026-125350 parmi les correctifs critiques.
Le Centre de coordination des incidents de sécurité informatique du gouvernement de Hong Kong (GovCERT.HK) a publié le même jour une alerte de sécurité, définissant les systèmes affectés comme étant les versions antérieures à Chrome 157.0.8103.50, et indiquant qu'une exploitation réussie de ces vulnérabilités pourrait entraîner l'exécution de code à distance, un déni de service, une altération ou une contournement des restrictions de sécurité. Le Centre de coordination des incidents de sécurité informatique de Hong Kong (HKCERT) a quant à lui évalué le niveau de risque de cette mise à jour comme « très élevé ».
Google indique dans son annonce que l'accès aux détails de la vulnérabilité et aux liens restera limité jusqu'à ce que la majorité des utilisateurs aient effectué leur mise à jour. L'entreprise recommande aux utilisateurs de vérifier manuellement et de déclencher la mise à jour via « Paramètres → À propos de Chrome ». Après la mise à jour, il est nécessaire de redémarrer le navigateur pour que le correctif prenne effet. Pour les utilisateurs encore en version antérieure à Chrome 157.0.8103.50, la première action à entreprendre est de confirmer leur numéro de version et de redémarrer immédiatement pour finaliser la mise à niveau.