Google a publié une mise à jour de sécurité urgente pour son navigateur Chrome, corrigeant une vulnérabilité grave qui pourrait permettre à des attaquants de prendre le contrôle des systèmes des utilisateurs simplement en visitant un site web malveillant.
Les versions de Chrome antérieures à 141.0.7390.107/.108 pour Windows et Mac et à 141.0.7390.107 pour Linux sont concernées.
L’équipe du CERT de Hong Kong a déclaré : « Un attaquant distant pourrait exploiter cette vulnérabilité pour déclencher l’exécution de code à distance sur le système ciblé. »
Découverte d’une vulnérabilité de Chrome Safe Browsing
La vulnérabilité (CVE-2025-11756) affecte la fonctionnalité Safe Browsing de Chrome, une couche de défense essentielle conçue pour protéger les utilisateurs contre les sites d’hameçonnage et les téléchargements de logiciels malveillants.
Elle a été découverte par un chercheur en septembre 2025, puis signalée à Google. Au moment de la publication, Google n’avait pas encore communiqué de détails techniques précis sur cette vulnérabilité.
Comme Safe Browsing fonctionne avec des privilèges élevés, une exploitation réussie pourrait contourner les protections de la sandbox de Chrome et potentiellement donner un accès complet au système d’exploitation sous-jacent.
Comment fonctionne la vulnérabilité de Chrome
Le problème provient d’une erreur de mémoire de type use-after-free, classée sous CWE-416, dans le processus Safe Browsing de Chrome.
Ce type de bug survient lorsque le programme continue de référencer une zone mémoire déjà libérée, ce qui permet à des attaquants de manipuler le contenu de la mémoire et d’y injecter du code malveillant.
L’exploitation de la vulnérabilité pourrait permettre à des attaquants distants d’exécuter du code arbitraire sur l’appareil de la victime, notamment d’installer des logiciels malveillants, d’exfiltrer des données ou de détourner des sessions de navigateur.
L’exploitation nécessite seulement que l’utilisateur visite une page web compromise ou malveillante : aucune interaction supplémentaire n’est nécessaire, comme dans d’autres attaques sans clic.
Conformément à sa politique habituelle de divulgation, Google retient les détails techniques complets de la vulnérabilité jusqu’à ce que la majorité des utilisateurs aient reçu le correctif. Cette divulgation progressive contribue à empêcher les acteurs malveillants de développer des exploits tant que la majorité des utilisateurs restent sans protection.
Comment les entreprises peuvent réduire les risques
Même si le correctif de Google résout la faille immédiate, les entreprises devraient prendre des mesures supplémentaires pour renforcer leurs environnements et se protéger contre des attaques similaires à l’avenir, notamment :
- Prioriser l’application des correctifs : appliquez immédiatement la dernière mise à jour de Chrome et imposez une gestion homogène des correctifs à l’échelle de l’organisation.
- Contrôler les versions et les extensions : standardisez les versions de Chrome et n’autorisez que les extensions vérifiées et fiables.
- Utiliser les protections réseau et les protections DNS : bloquez les domaines malveillants à l’aide de passerelles web sécurisées ou d’un filtrage DNS.
- Renforcer la sécurité des terminaux : limitez les droits d’administration, isolez la navigation à risque et activez les contrôles d’atténuation des exploits.
- Surveiller les anomalies : utilisez des outils comme la détection et réponse sur les terminaux (EDR) pour repérer les activités inhabituelles de Chrome ou du réseau.
- Sensibiliser les utilisateurs : formez le personnel aux bonnes pratiques de navigation et aux risques liés à la consultation de sites non fiables.
Ensemble, ces mesures créent une défense en profondeur qui réduit au minimum l’impact des vulnérabilités des navigateurs et renforce la cyberrésilience globale.
Des surfaces d’attaque qui s’étendent dans les navigateurs modernes
Cette vulnérabilité met en évidence la complexité croissante de la sécurité des navigateurs et le défi persistant que représente la défense contre les failles liées à la mémoire.
Même avec les mécanismes robustes de sandboxing et d’isolation de Chrome, de subtiles erreurs de programmation peuvent encore devenir de puissants vecteurs d’attaque, démontrant qu’aucun composant, pas même Safe Browsing, n’est à l’abri d’une exploitation.
À mesure que les navigateurs évoluent pour devenir de véritables plateformes applicatives prenant en charge les extensions, les API web et les intégrations cloud, leur surface d’attaque continue de s’étendre.
Cette complexité rend les tests traditionnels et le sandboxing moins efficaces à eux seuls, ce qui souligne la nécessité d’améliorer en continu la sécurité mémoire, d’adopter des pratiques DevSecOps et de mener des recherches proactives sur les vulnérabilités.
Alors que les menaces exploitent de plus en plus les applications et composants de confiance, adopter un modèle de sécurité zero-trust devient essentiel pour garantir qu’aucun utilisateur, appareil ou processus ne soit automatiquement considéré comme fiable par défaut.