Google a publié Chrome 156 sur le canal stable pour ordinateurs, avec 353 correctifs de sécurité, dont six vulnérabilités critiques touchant des composants comme CSS, Accessibility, Skia et WebRTC.
La note de version officielle de Chrome indique que la mise à jour se déploie sous Windows, macOS et Linux « dans les prochains jours ou semaines ». Les versions corrigées sont :
- Windows et macOS : 156.0.8078.47/.48
- Linux : 156.0.8078.47
Le journal des modifications couvert va de 155.0.8059.85 à 156.0.8078.47. Les utilisateurs et les administrateurs doivent vérifier que leurs installations ont bien atteint l'une des versions corrigées, en particulier sur les systèmes gérés, où le déploiement échelonné de Google peut retarder la disponibilité.
Les défauts de sécurité mémoire dominent la mise à jour
Selon l'analyse de SecurityWeek, les 353 correctifs se répartissent en six problèmes critiques, 61 de gravité élevée, 197 de gravité moyenne et 89 de faible gravité.
La même analyse recense :
- 163 corruptions de mémoire
- 125 vulnérabilités de type « use-after-free »
- 17 lectures hors limites
- 36 problèmes de validation insuffisante des entrées
Ces catégories représentent 341 des 353 correctifs. La répartition citée ne classe pas les 12 restants.
Les corruptions de mémoire et les failles « use-after-free » apparaissent lorsqu'un logiciel gère mal les limites de la mémoire ou continue d'utiliser une zone mémoire après sa libération. Selon le composant touché et les protections disponibles, les attaquants pourraient être en mesure de lire des données, de faire planter le navigateur ou d'exécuter du code. Les descriptions NVD des problèmes les plus graves de Chrome 156 impliquent généralement une victime qui ouvre une page HTML malveillante.
Six vulnérabilités critiques touchent des composants essentiels du navigateur
Google a classé cinq des problèmes critiques comme des corruptions de mémoire et un comme une utilisation après libération. Les dates de « signalement » ci-dessous indiquent le moment où Google a reçu chaque rapport, et non la date de publication du correctif ni celle de la divulgation publique.
| Vulnérabilité | Composant et classe | Effet potentiel décrit par NVD | CVSS | Signalée par Google | Signalée le |
|---|---|---|---|---|---|
| CVE-2026-113341 | Corruption de mémoire dans Skia | Fuite potentielle de mémoire dans le bac à sable via une page HTML malveillante ; la description NVD limite spécifiquement ce problème à Chrome sur Android avant 156.0.8078.47 | 6,5 | 3 octobre 2026 | |
| CVE-2026-113279 | Corruption de mémoire dans Accessibility | Exécution potentielle de code arbitraire dans le bac à sable | 8,8 | Xinyang Ge | 5 octobre 2026 |
| CVE-2026-113072 | Corruption de mémoire dans CSS | Exécution potentielle de code arbitraire en dehors du bac à sable | 9,6 | Xinyang Ge | 6 octobre 2026 |
| CVE-2026-113280 | Corruption de mémoire dans Paint | Exécution de code arbitraire dans le bac à sable | 8,8 | Xinyang Ge | 6 octobre 2026 |
| CVE-2026-113271 | Utilisation après libération dans Accessibility | Exécution de code arbitraire dans le bac à sable | 8,8 | Xinyang Ge (Anthropic), avec l'assistance de Claude | 8 octobre 2026 |
| CVE-2026-113303 | Corruption de mémoire dans WebRTC | Exécution potentielle de code arbitraire dans le bac à sable | 8,8 | OpenAI Codex Security (kylebot) | 15 octobre 2026 |
La CVE-2026-113072 se distingue, car sa description NVD indique qu'une page HTML malveillante pourrait conduire à une exécution de code en dehors du bac à sable de Chrome. Elle affiche un score CVSS 3.1 de 9,6, avec un accès réseau, une faible complexité d'attaque et une interaction de l'utilisateur requise.
Les différences entre les scores CVSS et les niveaux de gravité de Chromium reflètent des systèmes d'évaluation distincts. Par exemple, Google classe la CVE-2026-113341 comme critique, alors que son vecteur NVD lui attribue un score de 6,5, car l'effet décrit se limite à la lecture de mémoire dans le bac à sable.
Une faille de Site Isolation obtient la plus forte récompense publiée
Parmi les bogues de gravité élevée, la CVE-2026-113101 a reçu la plus forte prime publiée : 10 000 $, versée à Quyen Son de VinFast.
Cette vulnérabilité de type « use-after-free » touche Site Isolation dans les versions de Chrome antérieures à 156.0.8078.47. Selon sa description NVD, un attaquant distant pourrait utiliser une page HTML malveillante pour exécuter du code arbitraire dans le bac à sable. Elle affiche un score CVSS de 8,8 et est classée CWE-416.
Un autre problème de gravité élevée, la CVE-2026-113097, est un défaut « use-after-free » dans FileSystem. Sa fiche NVD décrit également une exécution de code potentielle dans le bac à sable via une page HTML malveillante, avec un score CVSS de 8,8.
Google indique avoir versé 50 000 $ au total pour 24 vulnérabilités. Le montant des récompenses pour 44 autres problèmes n'a pas été divulgué. Le décompte de SecurityWeek indique que 285 vulnérabilités n'ont donné lieu à aucune récompense, dont 266 attribuées à Google, les autres étant attribuées à Xinyang Ge ou à OpenAI Codex Security.
Les crédits de Google identifient certaines découvertes comme ayant été assistées par Claude, d'Anthropic, ou soumises sous OpenAI Codex Security. Ces attributions décrivent la manière dont Google a répertorié les signalants ; elles ne permettent pas à elles seules de déterminer la part de la découverte ou de l'analyse réalisée de manière autonome par un système d'IA.
Les détails d'exploitation restent restreints pendant le déploiement
Google a indiqué que les liens vers les bogues et les détails techniques pourraient rester indisponibles tant que la majorité des utilisateurs n'auront pas installé la mise à jour. Ces restrictions peuvent durer plus longtemps lorsqu'une vulnérabilité touche une bibliothèque tierce utilisée par d'autres projets qui n'ont pas encore publié leurs propres correctifs.
SecurityWeek a relevé que l'annonce de Google ne mentionnait l'exploitation d'aucune des 353 vulnérabilités dans la nature. Cette absence ne doit pas être interprétée comme la confirmation que l'exploitation a été écartée.
Pour les utilisateurs d'ordinateurs et les administrateurs d'entreprise, la mesure défensive concrète consiste à vérifier le déploiement de Chrome 156.0.8078.47/.48 sous Windows et macOS ou 156.0.8078.47 sous Linux. Les versions plus anciennes restent dans la plage vulnérable couverte par cette mise à jour de sécurité.
