Google vient de publier une importante mise à jour de sécurité pour son navigateur Chrome. Baptisée Chrome 157, cette version a été déployée sur les canaux stables pour Windows, macOS et Linux le 3 novembre 2026.
La mise à jour corrige au total 213 problèmes de sécurité. Parmi eux, sept sont classés critiques, notamment des vulnérabilités de type buffer overflow, memory corruption et use-after-free touchant plusieurs composants internes du navigateur.
Les utilisateurs doivent notamment rechercher les versions 157.0.8103.38/.39 sous Windows et macOS, ainsi que 157.0.8103.38 sous Linux. Google précise que le déploiement de Chrome 157 s’effectuera progressivement au cours des prochains jours et semaines.
La publication est donc particulièrement importante pour les entreprises et les utilisateurs qui utilisent Chrome comme navigateur principal.
Chrome 157 corrige 213 vulnérabilités
Dans son bulletin officiel, Google indique que Chrome 157 contient 213 correctifs de sécurité.
L’entreprise ne publie cependant pas immédiatement l’ensemble des détails techniques pour chaque vulnérabilité. Google explique que certaines informations peuvent rester temporairement restreintes afin de limiter les risques tant qu’une majorité des utilisateurs n’a pas installé la mise à jour.
Cette pratique est courante dans le développement de Chrome. Elle vise notamment à éviter qu’un attaquant puisse exploiter rapidement les détails techniques d’une faille alors qu’une partie importante des utilisateurs utilise encore une version vulnérable.
La page officielle de Google Chrome Releases détaille les versions concernées et les principales vulnérabilités divulguées.
Sept vulnérabilités classées critiques
Parmi les 213 problèmes corrigés, Google identifie sept vulnérabilités comme critiques.
Les failles concernent plusieurs composants essentiels du navigateur :
| CVE | Composant | Type de vulnérabilité |
|---|---|---|
| CVE-2026-121156 | Dawn | Buffer overflow |
| CVE-2026-121229 | ANGLE | Memory corruption |
| CVE-2026-121246 | WebGL | Use-after-free |
| CVE-2026-121035 | Prerender | Use-after-free |
| CVE-2026-121247 | Dawn | Buffer overflow |
| CVE-2026-121203 | Geometry | Use-after-free |
| CVE-2026-121126 | Core | Use-after-free |
Ces sept identifiants et leurs descriptions sont directement mentionnés dans le bulletin de sécurité publié par Google.
Il est important de préciser que « critique » correspond ici à la classification de sécurité de Chrome. Cela ne signifie pas nécessairement que chaque vulnérabilité possède déjà un score CVSS maximal.
À ce stade, le bulletin de Google ne fournit pas de score CVSS pour ces sept vulnérabilités. Les données CVSS de la National Vulnerability Database peuvent également apparaître avec un certain décalage après la publication initiale d’un CVE. Le fonctionnement de cet enrichissement est expliqué par le NIST dans sa documentation sur la NVD et le CVSS.
Dawn et ANGLE au cœur de plusieurs failles critiques
Deux composants graphiques de Chrome sont particulièrement représentés parmi les vulnérabilités critiques.
La première est Dawn, l’implémentation de WebGPU utilisée par Chromium pour permettre aux applications Web d’accéder à des capacités graphiques modernes.
Chrome 157 corrige notamment CVE-2026-121156, un dépassement de tampon dans Dawn, ainsi que CVE-2026-121247, également classée comme un buffer overflow.
La première vulnérabilité a valu à son découvreur une récompense de 10 000 dollars, selon Google.
Le deuxième composant concerné est ANGLE, une couche d’abstraction graphique utilisée notamment pour traduire des appels graphiques vers les différentes API prises en charge par les systèmes d’exploitation.
CVE-2026-121229 concerne une corruption mémoire dans ANGLE. Google indique avoir versé une récompense de 1 000 dollars pour cette découverte.
Ces composants sont particulièrement sensibles du point de vue de la sécurité puisqu’ils traitent des contenus provenant des pages Web et interagissent avec des fonctionnalités graphiques relativement complexes.
Qu’est-ce qu’une vulnérabilité « use-after-free » ?
Quatre des sept vulnérabilités critiques de Chrome 157 sont classées comme des use-after-free.
Il s’agit d’une erreur de gestion de la mémoire qui se produit lorsqu’un programme continue d’utiliser une zone mémoire après que celle-ci a déjà été libérée.
Dans certaines circonstances, un attaquant peut exploiter ce comportement pour provoquer une corruption mémoire.
Selon la manière dont le navigateur traite l’objet concerné, une telle vulnérabilité peut potentiellement permettre des conséquences allant du plantage de l’application jusqu’à l’exécution de code arbitraire.
Chrome 157 corrige ce type de problème dans plusieurs composants :
- WebGL avec CVE-2026-121246 ;
- Prerender avec CVE-2026-121035 ;
- Geometry avec CVE-2026-121203 ;
- Core avec CVE-2026-121126.
Ces vulnérabilités montrent pourquoi les composants qui manipulent du contenu Web non fiable font l’objet d’une surveillance particulièrement importante dans les navigateurs modernes.
De nombreuses failles concernent aussi les autorisations
Les problèmes de mémoire ne constituent pas la seule catégorie de vulnérabilités corrigée par Chrome 157.
Le bulletin de Google mentionne également plusieurs failles liées aux autorisations.
Par exemple, CVE-2026-121107, classée comme vulnérabilité de niveau élevé, concerne une mauvaise gestion des autorisations dans BackgroundFetch. Google indique qu’une récompense de 10 000 dollars a été attribuée pour sa découverte.
D’autres vulnérabilités concernent notamment les systèmes de fichiers, les permissions, DevTools, WebView et différents composants du navigateur.
Cela rappelle qu’une faille de sécurité dans un navigateur ne signifie pas nécessairement qu’un problème de corruption mémoire est en cause. Des erreurs de logique dans la gestion des permissions peuvent également permettre à un site Web ou à un contenu malveillant d’obtenir des capacités qui ne devraient pas lui être accessibles.
Google ne signale aucune exploitation active des sept failles critiques
Un élément important doit être souligné : Google n’indique pas que les vulnérabilités corrigées par Chrome 157 sont actuellement exploitées dans la nature.
Le bulletin de sécurité ne signale pas d’exploitation connue de ces failles au moment de la publication.
Cette absence d’exploitation connue ne signifie toutefois pas que le risque est nul.
Les détails techniques de plusieurs vulnérabilités peuvent rester limités jusqu’à ce qu’une proportion suffisante des utilisateurs ait installé les correctifs. Google applique régulièrement cette politique afin de réduire le risque d’exploitation opportuniste.
Une fois les détails techniques publiés plus largement, les attaquants peuvent en effet analyser les correctifs pour tenter de reproduire le comportement vulnérable dans les anciennes versions.
Chrome 157 est disponible sur Windows, macOS et Linux
Les utilisateurs de Chrome sur ordinateur doivent rechercher les versions suivantes :
- Windows : 157.0.8103.38 ou 157.0.8103.39
- macOS : 157.0.8103.38 ou 157.0.8103.39
- Linux : 157.0.8103.38
Google précise que la mise à jour est déployée progressivement. Il est donc possible que Chrome 157 ne soit pas encore proposé immédiatement sur toutes les machines.
Les utilisateurs peuvent vérifier manuellement leur version depuis le menu Aide > À propos de Google Chrome.
Chrome vérifie alors automatiquement la disponibilité d’une mise à jour et télécharge le correctif lorsqu’il est disponible.
Les utilisateurs peuvent également consulter la page officielle de téléchargement de Google Chrome.
Chrome 157 est également disponible sur Android
Google a publié le même jour Chrome 157 pour Android.
La version 157.0.8103.38 doit être distribuée progressivement via Google Play. Google précise que la version Android reprend les mêmes correctifs de sécurité que les versions desktop correspondantes, sauf indication contraire.
Les utilisateurs Android doivent donc également vérifier que leur navigateur est à jour.
Pour les organisations administrant un parc important de terminaux, cette mise à jour doit être intégrée aux procédures habituelles de gestion des correctifs.
Pourquoi il est important de mettre Chrome à jour rapidement
Les navigateurs Web constituent aujourd’hui l’une des principales surfaces d’exposition des postes de travail.
Un utilisateur peut ouvrir quotidiennement des dizaines de pages provenant de serveurs différents. Le navigateur doit alors interpréter du HTML, du JavaScript, des images, des vidéos, des documents PDF, des contenus WebGL et de nombreuses autres ressources potentiellement contrôlées par des tiers.
Une vulnérabilité exploitable peut donc être déclenchée par un contenu Web spécialement conçu.
C’est notamment pour cette raison que Google recommande de traiter les mises à jour de Chrome comme des correctifs de sécurité prioritaires.
Dans sa documentation destinée aux utilisateurs et aux administrateurs, l’équipe sécurité de Chromium précise que les mises à jour Chrome doivent être appliquées dès qu’elles sont disponibles et déconseille de tenter de hiérarchiser les mises à jour uniquement en fonction des détails des vulnérabilités publiées.
Le FAQ officiel de Chromium consacré aux mises à jour de sécurité explique notamment pourquoi Google recommande d’appliquer rapidement les mises à jour plutôt que d’attendre qu’une faille soit confirmée comme exploitée.
Que doivent faire les entreprises ?
Pour les entreprises utilisant Chrome sur des postes professionnels, le déploiement de Chrome 157 doit être traité comme une mise à jour de sécurité importante.
Les administrateurs peuvent notamment :
- vérifier la version actuellement installée sur les postes ;
- accélérer le déploiement de Chrome 157 lorsque les politiques internes le permettent ;
- contrôler les machines qui n’ont pas encore reçu la mise à jour ;
- surveiller les navigateurs obsolètes dans les environnements administrés ;
- vérifier que les mécanismes de mise à jour automatique fonctionnent correctement ;
- redémarrer Chrome lorsque cela est nécessaire pour appliquer complètement les correctifs ;
- surveiller les journaux de sécurité à la recherche de comportements inhabituels.
Dans les environnements fortement administrés, l’utilisation des politiques d’entreprise de Chrome permet également de contrôler le cycle de mise à jour du navigateur.
Google documente par ailleurs le cycle de publication de Chrome et explique que des mises à jour intermédiaires sont régulièrement distribuées afin de corriger des problèmes de sécurité et réduire le délai pendant lequel les utilisateurs restent exposés.
Une mise à jour importante malgré l’absence d’exploitation connue
Chrome 157 ne doit pas être considéré comme une simple mise à jour de maintenance.
Les 213 correctifs de sécurité, dont sept vulnérabilités critiques, montrent l’importance de maintenir le navigateur à jour, même lorsqu’aucune exploitation active n’a encore été signalée.
Les failles touchant Dawn, ANGLE, WebGL, Prerender, Geometry et Core sont particulièrement intéressantes pour les chercheurs et les attaquants, car plusieurs concernent la gestion de la mémoire dans des composants exposés au contenu Web.
La combinaison de vulnérabilités de corruption mémoire, de problèmes d’autorisation et d’autres défauts de sécurité justifie donc une installation rapide de la nouvelle version.
Conclusion
Avec Chrome 157, Google corrige 213 vulnérabilités de sécurité, dont sept classées critiques.
Les failles les plus sévères concernent notamment Dawn, ANGLE, WebGL, Prerender, Geometry et Core, avec plusieurs vulnérabilités de type use-after-free, des corruptions mémoire et des dépassements de tampon.
À ce stade, Google ne signale pas d’exploitation de ces vulnérabilités dans la nature. Cette situation ne doit toutefois pas conduire les utilisateurs à retarder l’installation du correctif, d’autant que Google limite volontairement certains détails techniques jusqu’à ce qu’une majorité d’utilisateurs ait reçu la mise à jour.
Les utilisateurs de Windows, macOS et Linux doivent donc vérifier leur version de Chrome et installer 157.0.8103.38/.39 dès que la mise à jour leur est proposée. Les utilisateurs Android doivent également vérifier la disponibilité de Chrome 157.0.8103.38 sur Google Play.
Pour les administrateurs système, cette publication constitue surtout un rappel : dans un navigateur qui traite en permanence du contenu provenant d’Internet, maintenir le logiciel à jour reste l’une des mesures de protection les plus importantes contre l’exploitation de vulnérabilités.
SOURCE : GBHACKERS
