Introduction
La vulnérabilité zero-day Chrome identifiée sous la référence CVE-2026-2441 inquiète la communauté cybersécurité. Google a confirmé que cette faille critique est activement exploitée en production.
Cette vulnérabilité zero-day Chrome affecte le moteur de rendu Blink et permet une utilisation après libération (Use-After-Free), ouvrant la voie à l’exécution de code arbitraire.
Origine de la vulnérabilité zero-day Chrome
La vulnérabilité zero-day Chrome a été signalée le 11 février 2026 par le chercheur Shaheen Fazim. Deux jours plus tard, Google a publié un correctif d’urgence.
La faille se situe dans le composant CSSFontFeatureValuesMap du moteur Blink. Elle repose sur un défaut d’invalidation d’itérateur lors de modifications internes de la HashMap.
Lorsqu’un rehachage se produit pendant une itération, un pointeur brut devient invalide. L’accès à cette mémoire libérée déclenche une exception Use-After-Free.
Impact technique
La vulnérabilité zero-day Chrome permet :
- L’exécution de code arbitraire dans le processus de rendu
- La divulgation d’informations sensibles
- Le vol de cookies et de sessions
- Le contournement potentiel de l’ASLR
Sur les systèmes non corrigés, elle provoque :
- STATUS_ACCESS_VIOLATION sous Windows
- SIGSEGV sous Linux et macOS
Cette faille peut être exploitée via une simple visite d’une page malveillante.
Versions concernées
La vulnérabilité zero-day Chrome affecte :
- Windows / macOS : versions antérieures à 145.0.7632.75
- Linux : versions antérieures à 144.0.7559.75
- Version stable étendue : antérieure à 144.0.7559.177
Les navigateurs basés sur Chromium comme Microsoft Edge, Brave, Opera et Vivaldi doivent appliquer leurs propres correctifs.
Exploitation en conditions réelles
Une preuve de concept publique démontre trois méthodes d’exploitation :
- Mutation pendant itération avec entries()
- Suppression via boucle for…of
- Recalcul forcé via requestAnimationFrame
La vulnérabilité zero-day Chrome peut servir de première étape dans une chaîne d’attaque complète, notamment lorsqu’elle est combinée à une évasion de sandbox.
L’agence américaine Cybersecurity and Infrastructure Security Agency (CISA) a ajouté cette faille à son catalogue des vulnérabilités exploitées connues (KEV).
Recommandations de sécurité
Pour se protéger contre cette vulnérabilité zero-day Chrome :
- Mettre à jour immédiatement Chrome
- Vérifier la version installée
- Appliquer les correctifs des navigateurs Chromium
- Activer l’isolation des sites
- Auditer les postes pour détecter les versions obsolètes
Les administrateurs doivent prioriser cette mise à jour.
Conclusion
La vulnérabilité zero-day Chrome CVE-2026-2441 démontre que même les navigateurs les plus utilisés restent des cibles majeures pour les attaquants.
L’exploitation active avant publication du correctif rappelle l’importance d’une mise à jour rapide et d’une surveillance constante des systèmes.
Face à ce type de menace, la réactivité est la meilleure défense.
Source : cybersecuritynews
