Chrome, encore une faille exploitée : ce qu’il faut faire cette semaine
Une nouvelle faille critique touche Google Chrome et est déjà exploitée par des pirates. Voici comment vérifier si votre navigateur est protégé et les gestes à adopter pour votre organisation.
Sommaire
Vous ouvrez Chrome, comme chaque matin, pour consulter vos mails ou accéder à votre outil métier. En arrière-plan, une brèche invisible permet à un pirate de prendre la main sur votre ordinateur, sans même que vous le sachiez. Ce scénario n’a rien d’un film : il résume la huitième faille zero-day corrigée dans Chrome depuis janvier, dont l’exploitation a été confirmée la semaine dernière par Google.
Pourquoi cette faille est-elle différente ?
La faille CVE-2026-125350, repérée et corrigée en urgence le 9 novembre, concerne le composant XML de Chrome. Elle appartient à la famille des « use-after-free » : une erreur de gestion de la mémoire qui permet à un attaquant, via une page web piégée, d’injecter ses propres instructions dans l’ordinateur de la victime. Google a classé la vulnérabilité comme « sévère », et confirme qu’elle est déjà exploitée dans des attaques ciblées (source officielle).
C’est la huitième fois cette année que Chrome doit colmater une brèche zero-day, c’est-à-dire inconnue de l’éditeur au moment où elle commence à être utilisée par des cybercriminels. La rapidité de la correction (trois jours après le signalement) montre que Google prend la menace au sérieux, mais aussi que les attaquants ne relâchent pas la pression.
Qui est concerné ?
Toutes les organisations qui utilisent Chrome sur Windows, macOS ou Linux sont exposées tant que la dernière version n’est pas installée. Il suffit qu’un utilisateur visite une page web piégée pour que la faille soit exploitée, sans aucune action supplémentaire de sa part. Les PME, collectivités et associations ne sont pas épargnées : un seul poste vulnérable peut suffire à ouvrir une brèche dans tout le réseau.
Les autres navigateurs basés sur Chromium (Edge, Brave, Opera) pourraient aussi être concernés, même si la faille n’a pas été confirmée sur ces versions au moment d’écrire ces lignes. Il est donc prudent de vérifier leur mise à jour également.
Concrètement, comment se protéger ?
La seule parade immédiate consiste à installer la version corrigée de Chrome : 157.0.8103.50 ou .51 sur Windows et macOS, et 157.0.8103.50 sur Linux. Pour vérifier la version utilisée et déclencher la mise à jour :
- Ouvrez Chrome, cliquez sur les trois points en haut à droite.
- Allez dans « Aide », puis « À propos de Google Chrome ».
- Le navigateur recherche et télécharge automatiquement la dernière version disponible.
- Cliquez sur « Relancer » pour appliquer la mise à jour.
Il est conseillé de demander à chaque collaborateur de refaire ce geste, même si les mises à jour sont censées être automatiques. En entreprise, un contrôle via la console d’administration ou un inventaire logiciel peut s’avérer utile, surtout si votre parc informatique est hétérogène.
Pourquoi ces failles zero-day se multiplient ?
Les navigateurs web sont devenus des portes d’entrée majeures pour les cyberattaques. Leur complexité – et la rapidité d’évolution des usages – multiplient les occasions pour les pirates de trouver des failles inconnues. En 2026, Chrome a déjà corrigé autant de vulnérabilités zero-day que sur toute l’année précédente (source).
Pour une PME ou une collectivité, cela signifie qu’aucun parc informatique n’est à l’abri d’une faille « invisible » : la vigilance ne se limite plus aux antivirus ou aux emails suspects. C’est la capacité à réagir vite – et à appliquer les correctifs dès leur publication – qui fait la différence.
Et si la faille a déjà été exploitée ?
Si vous soupçonnez une compromission (comportement anormal, alerte de sécurité, fuite de données), il ne faut pas attendre. Déconnectez la machine du réseau, prévenez votre référent informatique et documentez les premiers éléments. Pour être guidé dans les premiers gestes et déclarer un incident, la page urgence cyber permet d’être rappelé rapidement par un expert et d’éviter les erreurs qui aggravent la situation.
Ne pas oublier la sécurité des sites web
Si votre organisation gère un site internet (WordPress, e-commerce, portail métier), pensez aussi à vérifier la sécurité de ses accès et de ses modules. Une faille du navigateur peut parfois être exploitée en combinaison avec une vulnérabilité du site. Pour renforcer la sécurité de votre site, consultez la page sécurité des sites Internet : vous y trouverez des conseils adaptés à votre contexte.
Des gestes à garder pour la suite
Les mises à jour ne sont pas une corvée de plus, mais un réflexe à inscrire dans la routine de l’organisation. Sensibiliser les équipes, automatiser l’inventaire des versions logicielles, et vérifier régulièrement les correctifs publiés par les éditeurs limitent le risque d’une mauvaise surprise. Si vous souhaitez aller plus loin, un audit de sécurité permet de repérer les points faibles avant qu’un incident ne survienne.
Le réflexe DYCAST
Ce matin, ouvrez Chrome sur chaque poste, vérifiez la version et relancez le navigateur après mise à jour. Notez la date du dernier contrôle dans un tableau partagé. En cas de doute ou de suspicion d’incident, passez par la page urgence cyber pour être guidé sans délai.
