Google a corrigé 213 vulnérabilités de sécurité dans Chrome 157, dont sept failles critiques touchant des composants du navigateur responsables du rendu graphique, de la gestion de la mémoire et d’autres fonctions.
La mise à jour, publiée le 3 novembre pour Windows, macOS et Linux, corrige 77 vulnérabilités de gravité élevée en plus des failles critiques. Google distribue progressivement les correctifs, et les utilisateurs devront peut-être redémarrer leur navigateur pour terminer l’installation.
Bien que Google n’ait pas divulgué de preuve d’une exploitation active, le nombre et la gravité des vulnérabilités font de Chrome 157 une mise à jour importante pour les utilisateurs individuels et les équipes de sécurité des entreprises.
Sept failles critiques affectent la sécurité du navigateur
Les vulnérabilités critiques affectent plusieurs composants de Chrome, notamment Dawn, ANGLE, WebGL, Prerender, Geometry et Core.
Deux d’entre elles concernent des débordements de tampon dans Dawn, qui assure l’implémentation de WebGPU dans Chrome. L’une d’elles, CVE-2026-121156, a été signalée par Zhenpeng (Leo) Lin de depthfirst et lui a valu une prime de 10 000 dollars US. Une autre faille critique, CVE-2026-121229, concerne une corruption de mémoire dans ANGLE, la couche de traduction graphique de Chrome. Le chercheur @mfx a signalé le problème et reçu une récompense de 1 000 dollars US.
Les cinq autres vulnérabilités critiques comprennent quatre problèmes d’utilisation après libération et un autre débordement de tampon. Ces failles de sécurité mémoire peuvent provoquer des plantages et, selon le composant touché et les conditions d’exploitation, permettre à des attaquants d’exécuter du code malveillant.
La mise à jour corrige également 77 vulnérabilités de gravité élevée, notamment des faiblesses d’autorisation, des corruptions de mémoire et des problèmes de confusion de types touchant des composants tels que V8, PDFium et ANGLE. Google affirme avoir attribué jusqu’à présent 31 000 dollars US de primes à des chercheurs, bien que les récompenses correspondant à 39 failles signalées n’aient pas encore été déterminées.
La recherche de sécurité assistée par l’IA gagne en importance
Un autre aspect notable de cette publication est le rôle croissant des outils d’IA dans la découverte de vulnérabilités. L’avis de sécurité de Google attribue plusieurs découvertes au chercheur d’Anthropic Xinyang Ge, avec l’aide de Claude, notamment des failles dans Prerender, Geometry et d’autres composants de Chrome.
OpenAI Codex Security figure également parmi les auteurs crédités pour plusieurs vulnérabilités, dont des problèmes touchant V8 et PDFium.
Les crédits mettent en évidence la visibilité croissante de la recherche de vulnérabilités assistée par l’IA, sans pour autant établir que des systèmes d’IA ont découvert ou validé les failles de manière autonome. Pour les développeurs de navigateurs, ces outils pourraient accroître le volume de vulnérabilités signalées, ce qui renforce la nécessité d’analyser les résultats, de hiérarchiser les correctifs et de déployer les mises à jour avant que des attaquants ne les exploitent.
Ce que les utilisateurs de Chrome doivent faire maintenant
Les utilisateurs de Chrome devraient installer la version 157 plutôt que d’attendre indéfiniment son déploiement automatique. Google n’a pas signalé d’exploitation active des vulnérabilités corrigées, mais le nombre de failles critiques et de gravité élevée rend tout retard de mise à jour inutilement risqué sur le plan de la sécurité.
Pour rechercher la mise à jour, ouvrez le menu à trois points de Chrome, accédez à Aide > À propos de Google Chrome et laissez le navigateur rechercher une version plus récente. Si la mise à jour est disponible, sélectionnez Relancer pour terminer l’installation.
Chrome pour Android reçoit également la version 157.0.8103.38 via Google Play, et sa disponibilité s’étendra dans les prochains jours.
Les entreprises doivent faire des mises à jour du navigateur une priorité de sécurité
Pour les entreprises, Chrome 157 rappelle une fois de plus que la sécurité des navigateurs doit occuper une place dans la gestion des terminaux.
Pour les équipes informatiques des entreprises, la priorité consiste à confirmer que Chrome 157 a bien atteint les terminaux gérés et que les employés ont redémarré leur navigateur pour activer les correctifs. Les administrateurs doivent utiliser leurs outils de gestion des terminaux pour repérer les installations obsolètes, vérifier la conformité des mises à jour et examiner les appareils qui n’ont pas bénéficié du déploiement.
Les administrateurs informatiques doivent vérifier que les appareils gérés ont reçu la version corrigée et repérer les terminaux qui exécutent encore d’anciennes versions. Les employés qui laissent leur navigateur ouvert pendant de longues périodes peuvent également avoir besoin d’un rappel pour redémarrer Chrome et terminer la mise à jour.
Les entreprises doivent accorder une attention particulière aux appareils non gérés et aux systèmes qui ne se connectent pas régulièrement aux réseaux de l’entreprise, pour lesquels il peut être plus difficile de surveiller la conformité des mises à jour.
Google retient certains détails techniques jusqu’à ce qu’un plus grand nombre d’utilisateurs reçoivent les correctifs, ce qui limite les informations disponibles sur les voies d’exploitation potentielles. Pour les équipes de sécurité, cela rend le déploiement et la vérification rapides particulièrement importants, même en l’absence de signalement d’attaques actives.
Par ailleurs, la mise à jour de sécurité Android de novembre 2026 de Google corrige 216 vulnérabilités, dont une faille critique qui pourrait permettre l’exécution de code à distance sans interaction de l’utilisateur, incitant les particuliers et les entreprises à vérifier le niveau des correctifs de sécurité de leurs appareils.