// CLUBIC — CYBERSECURITY
Chrome : Google vient encore de combler plus de 300 failles
Google a déployé Chrome 152, une mise à jour qui corrige 327 vulnérabilités, dont dix jugées critiques. Un chercheur surnommé Goodluck reçoit à lui seul 25 000 dollars pour avoir signalé l'une d'entre elles, une faille critique logée dans le moteur graphique ANGLE.
Ces correctifs concernent Chrome 152.0.7977.64 et 152.0.7977.65 sur Windows et macOS, ainsi que 152.0.7977.64 sur Linux, avec des versions équivalentes pour Android et iOS. Ils arrivent quelques semaines seulement après un autre lot de correctifs tout aussi conséquent apporté à la version précédente de Chrome.
Sur les 327 failles comblées, Google indique en avoir détecté 299 en interne. Les 28 restantes ont été signalées par des chercheurs extérieurs, lesquels se partagent environ 38 000 dollars de récompenses. Le lot comprend dix vulnérabilités critiques (neuf de type use-after-free, touchant notamment les composants ANGLE et Aura), 61 failles à risque élevé, 184 à risque moyen et 72 à risque faible. Les failles de type use-after-free et celles liées à une autorisation incorrecte comptent chacune 50 cas, suivies de 36 cas de validation insuffisante des données saisies. Fin juillet, Google avait déployé Chrome 151, lequel comblait déjà 370 failles. À l'instar des autres entreprises s'appuyant sur les outils IA pour repérer des failles, les ingénieurs de Google s'invitent, eux aussi, sur un rythme de correctifs volumineux.
CVE-2026-79282, la faille à l'origine de la récompense de 25 000 dollars, a été signalée dès le mois de mars. Elle touche ANGLE (Almost Native Graphics Layer Engine), le composant qui traduit les instructions graphiques d'une page web dans un langage compréhensible par le système d'exploitation et la carte graphique. Il s'agit d'une vulnérabilité use-after-free. Ce défaut survient quand un programme continue d'utiliser une zone de mémoire après l'avoir libérée. Cela permet à un attaquant de la manipuler à son profit. Une seconde faille, CVE-2026-78899, se loge dans le moteur V8, la brique qui exécute le code JavaScript des pages visitées. Elle affiche un score de gravité de 8,8 sur 10 et peut, elle aussi, être déclenchée par la simple visite d'une page piégée.
Ces deux vulnérabilités n'ont pas tout à fait les mêmes conséquences. La faille du moteur V8 permet l'exécution de code à l'intérieur du bac à sable du navigateur, un environnement cloisonné qui limite l'action d'un attaquant au seul Chrome. Celle logée dans ANGLE, elle, autorise une exécution de code en dehors de ce bac à sable, ce qui expose potentiellement l'ensemble du système d'exploitation. Un pirate déterminé peut aussi enchaîner plusieurs failles pour sortir d'un bac à sable plus limité, ce qui rend une mise à jour rapide d'autant plus utile.
Chrome se met à jour de lui-même la plupart du temps. Pour vérifier manuellement, rendez-vous dans le menu (trois points), puis Aide, À propos de Google Chrome, avant de relancer le navigateur. Ces correctifs seront également appliqués aux autres navigateurs basés sur Chromium comme Brave, Edge, Opera ou Vivaldi. La version suivante, Chrome 153, est attendue dans deux semaines.