Google et Mozilla ont publié Chrome 156 et Firefox 159 le 27 octobre, corrigeant plus de 200 vulnérabilités de sécurité. La mise à jour de Chrome comprend quatre failles critiques, tandis que les correctifs de Firefox couvrent des contournements de bac à sable et d’autres faiblesses, selon SecurityWeek. Aucun des deux éditeurs n’a fait état d’une exploitation observée dans la nature, indique la publication.
Le bulletin de version de Google recense 52 correctifs de sécurité : quatre classés critiques, 46 élevés et deux moyens. Les vulnérabilités critiques sont une corruption de mémoire dans FileSystem, suivie sous le nom CVE-2026-118306 ; une validation incorrecte des entrées dans FileAPI et Skia, suivie sous les noms CVE-2026-118331 et CVE-2026-118348 ; et une faille de type « use-after-free » dans Layout, CVE-2026-118344.
Selon SecurityWeek, la CVE-2026-118306 pourrait permettre l’exécution de code arbitraire en dehors du bac à sable de Chrome, au moyen d’une page HTML spécialement forgée. Il s’agit d’un scénario d’exploitation potentiel, et non d’une attaque observée.
Les versions corrigées de Chrome sont en cours de déploiement sous les numéros 156.0.8078.73 et 156.0.8078.74 pour Windows et macOS, et 156.0.8078.73 pour Linux, selon SecurityWeek. Google indique que l’accès à certains détails des bogues pourrait rester restreint jusqu’à ce que la plupart des utilisateurs aient reçu les correctifs, ou tant que d’autres projets utilisant une bibliothèque tierce concernée n’ont pas été corrigés.
Firefox 159 corrige 167 défauts de sécurité, dont 108 classés élevés, selon le compte rendu de SecurityWeek de l’annonce de Mozilla. La plupart des correctifs concernent des failles de type « use-after-free », c’est-à-dire des cas où un logiciel accède à une zone mémoire après sa libération. La mise à jour traite aussi les contournements de bac à sable, les élévations de privilèges, les problèmes de limites incorrectes et les contournements de la politique de même origine. Cette dernière concerne les restrictions qui séparent les contenus provenant d’origines web différentes.
Mozilla a également publié, le 27 octobre, Firefox ESR 153.6 et 115.44, ainsi que Thunderbird 159 et 153.6. SecurityWeek indique que ces versions corrigent beaucoup des mêmes vulnérabilités. Le total de Firefox 159 ne doit donc pas être considéré comme le nombre de correctifs pour chacune de ces versions distinctes.
