Google a publié une mise à jour de Chrome corrigeant plusieurs failles de gravité élevée et a confirmé que l’une des vulnérabilités était activement exploitée dans la nature.
Nous sommes « … au courant qu’un exploit pour CVE-2026-5281 existe dans la nature », a déclaré Google dans son avis de sécurité.
À propos de CVE-2026-5281
La vulnérabilité, répertoriée sous le numéro CVE-2026-5281, est une faille de type use-after-free qui touche l’implémentation WebGPU de Chrome via sa couche d’abstraction GPU Dawn.
Cette catégorie de vulnérabilité survient lorsqu’un programme continue d’accéder à une zone mémoire après sa libération, ce qui permet potentiellement à des attaquants de manipuler la mémoire et d’exécuter du code malveillant.
Dans ce cas, le problème se situe dans Dawn — un composant multiplateforme qui active les fonctionnalités WebGPU et interagit étroitement avec le matériel système sous-jacent, ce qui accroît l’impact potentiel de l’exploitation.
Google a confirmé que CVE-2026-5281 était activement exploitée dans la nature.
Les attaquants peuvent exploiter cette faille en provoquant une mauvaise gestion de la mémoire dans le pipeline de traitement du GPU.
Cela peut entraîner une corruption de la mémoire, permettant à des adversaires d’exécuter du code arbitraire dans le contexte du navigateur.
Dans des chaînes d’attaque plus sophistiquées, la vulnérabilité pourrait être combinée à d’autres failles pour contourner les protections du bac à sable de Chrome et obtenir un accès plus étendu au système sous-jacent — ce qui pourrait entraîner une compromission complète de l’appareil.
La mise à jour corrective de Chrome a remédié à 21 vulnérabilités, dont beaucoup concernaient des problèmes de sécurité mémoire tels que les failles use-after-free et les débordements de tampon du tas, dans des composants comme WebGL, WebCodecs, CSS et le moteur JavaScript V8.
Les vulnérabilités corrigées touchent les versions de Chrome antérieures à 146.0.7680.177 sous Linux et à 146.0.7680.177/178 sous Windows et macOS.
Réduire les risques liés aux attaques contre les navigateurs
Compte tenu de l’exploitation active de cette vulnérabilité, les organisations devraient donner la priorité à la réduction de leur exposition et à la mise en place de plusieurs mécanismes de défense.
- Appliquer le dernier correctif et vérifier son déploiement sur tous les systèmes gérés à l’aide d’outils de gestion des terminaux.
- Surveiller la télémétrie des terminaux et du réseau pour détecter les signes d’une exploitation, notamment des plantages inhabituels du navigateur, une activité anormale du GPU ou des connexions sortantes suspectes.
- Restreindre les fonctionnalités du navigateur à haut risque telles que WebGPU, WebGL et WebAssembly, et limiter les extensions via des stratégies d’entreprise.
- Renforcer les protections des terminaux en activant EDR/XDR la détection comportementale, des mécanismes d’atténuation des exploits et une liste blanche des applications.
- Réduire la surface d’attaque grâce à des accès selon le principe du moindre privilège, à la segmentation du réseau et au filtrage DNS ou web pour bloquer les infrastructures malveillantes.
- Tester les plans de réponse aux incidents et utiliser des outils de simulation d’attaques dans le cadre de scénarios d’exploitation de navigateurs.
Ensemble, ces mesures contribuent à réduire le rayon d’impact d’une compromission potentielle tout en renforçant la résilience globale face à l’évolution des menaces visant les navigateurs.
La complexité des navigateurs crée de nouveaux risques
Cet incident met en lumière une tendance plus générale : les navigateurs modernes continuent de se complexifier, en intégrant des fonctionnalités comme l’accélération GPU et le rendu en temps réel, qui élargissent la surface d’attaque.
Les vulnérabilités liées à la sécurité mémoire — en particulier les failles use-after-free — restent un problème persistant.
Parallèlement, les progrès de l’IA contribuent à accélérer la découverte des vulnérabilités et pourraient réduire le délai entre leur divulgation et leur exploitation.
Face à l’évolution constante de ces risques, les organisations se tournent vers des solutions zero trust pour limiter leur exposition et contribuer à réduire le rayon d’impact des incidents.