Chrome corrige une faille déjà exploitée, pensez à relancer le navigateur
Une faille du moteur V8 de Chrome est déjà exploitée dans la nature. Le correctif existe, encore faut-il relancer le navigateur pour qu’il serve.
Google vient de corriger dans Chrome une faille qui n’a pas attendu le correctif pour servir. L’éditeur reconnaît qu’un code d’exploitation circule déjà dans la nature. C’est la sixième faille de ce genre pour le navigateur depuis le début de l’année, et elle touche le composant le plus exposé de tous : le moteur qui exécute le JavaScript de chaque page que vous ouvrez.
Ce qu’il faut faire, en deux minutes
Ouvrir le menu de Chrome, entrer dans la rubrique « À propos de Google Chrome », laisser la mise à jour se télécharger, puis relancer le navigateur. Ce dernier geste est celui que tout le monde saute : tant que Chrome n’a pas redémarré, le correctif est sur le disque mais pas en mémoire. Les versions à atteindre sont 152.0.7977.82 ou .83 sous Windows et macOS, et 152.0.7977.82 sous Linux. Les navigateurs bâtis sur Chromium, d’Edge à Brave en passant par Vivaldi, héritent de la même correction dès qu’ils publient leur propre mise à jour. (Le nombre de gens qui gardent leur navigateur ouvert pendant trois semaines sans jamais le relancer est probablement la vraie statistique de sécurité de l’année ! 🙂)
Ce que fait la faille
Il s’agit d’une confusion de type dans V8, le moteur JavaScript et WebAssembly de Chrome. En clair, le moteur se trompe sur la nature d’un objet qu’il manipule, et cette erreur ouvre une brèche de lecture et d’écriture dans la mémoire. À partir de là , une page piégée peut faire exécuter du code de son choix. Nuance importante : ce code s’exécute à l’intérieur du bac à sable du navigateur. Pour toucher réellement la machine, il faut enchaîner avec une seconde faille. Cela ne rend pas la première anodine, cela explique simplement pourquoi ces failles voyagent rarement seules. Le même correctif règle par ailleurs une dizaine d’autres problèmes, dont des accès à de la mémoire déjà libérée.
Ce que l’on ne sait pas
Presque tout le reste, et c’est là qu’il faut garder la tête froide. Google dit qu’un code d’exploitation existe, sans dire qui s’en sert, contre qui, ni depuis quand. Les détails techniques sont volontairement retenus le temps que les utilisateurs se mettent à jour, ce qui est une pratique raisonnable et, accessoirement, très confortable pour l’éditeur. Un détail intrigue : la faille a été signalée début août par un chercheur indépendant, récompensé par mille dollars. Pour une faille du moteur JavaScript activement exploitée, la somme en dit plus long sur les grilles de récompense que sur la gravité réelle du problème.
Le Bien Heureux · Redaction Capibara · Lundi 7 septembre 2026