Chrome sur alerte: l'échec dans les travailleurs de service qui transforme votre navigateur en un bot silencieux

Une défaillance Chromium découverte par la chercheuse Lyra Rebane et documentée dans le traqueur d'erreur Chromium a de nouveau révélé une double défaillance : une vulnérabilité dans l'exécution des travailleurs de service qui peuvent garder JavaScript actif même avec le navigateur fermé, et une gestion interne des patchs qui ont divulgué des informations sensibles avant de déployer une correction efficace. Selon le chercheur, un attaquant peut créer un site Web qui enregistre un Service Worker qui ne se termine jamais et convertit ainsi les navigateurs en membres silencieux d'un réseau de robots distants capables de faire un proxy de trafic ou de participer à des attaques de déni de service.

Exposition du public aux détails techniques. Une partie du problème n'était pas seulement l'existence du bogue, mais le suivi administratif en chrome marquait l'incidence comme "fixée" dans le système avant que la correction n'atteigne réellement les utilisateurs, puis il a été ouvert à nouveau. Pendant que les détails sont devenus accessibles, les chercheurs et les observateurs ont pu valider que l'explosion était encore efficace dans les versions Dev des navigateurs Chrome, ce qui a facilité sa reproduction.

Il est important de souligner que, selon Rebane et l'analyse subséquente, la vulnérabilité ne semble pas briser les frontières du périmètre du navigateur : elle ne donne pas un accès direct aux fichiers locaux, au courrier ou au système d'exploitation. Toutefois, permet la persistance Exécution JavaScript avec connectivité réseau maintenue, qui est suffisant pour monter des proxies, amplifier le trafic ou maintenir la communication avec un centre de commande, causant un impact significatif sur l'échelle si elle est exploitée massivement.

Pour comprendre la technique, il est utile d'examiner le fonctionnement des travailleurs des services: ce sont des scripts qui agissent entre le réseau et le site Web pour gérer le cache, les notifications et les processus de fond. La documentation technique en MDN offre un bon point de départ pour ceux qui veulent approfondir leur conception et les risques: https: / / develop.mozilla.org / fr-US / docs / Web / API / Service _ WorkER _ API. Pour le contexte journalistique et technique de la filtration et de la situation actuelle, Ars Technica a recueilli des déclarations et des preuves reproductibles: https: / / arstechnica.com / security / 2026 / 05 / google-publides-exploitation-code-amenaturing-milles-des-utilisateurs de chrome /.

Que peuvent faire les utilisateurs aujourd'hui pour réduire le risque pendant qu'un patch officiel arrive? Tout d'abord, désactiver l'option qui vous permet d'exécuter des applications de fond lorsque le navigateur est fermé(Chrome: Paramètres → Système → "Continuer à exécuter des applications de fond lorsque Google Chrome est fermé"; Edge a une option équivalente dans Paramètres → Système). Deuxièmement, nettoyer et révoquer les travailleurs de service à partir de sites qui ne sont pas fiables : ceci peut être géré à partir des outils de développement (DevTools → Application → Travailleurs de service) ou de la gestion des données du site dans la configuration du navigateur, et aussi en cliquant sur : / / inspection / # travailleurs de service dans les navigateurs Chrome pour inspecter les travailleurs actifs.

Compléter l'hygiène du navigateur avec des bloqueurs de contenu robustes, comme uBlock Origin, et éviter l'exécution de scripts à partir de sites non vérifiés réduit la probabilité d'infection initiale. Pour la navigation à haut risque, il est recommandé d'utiliser des profils distincts ou le mode invité, et de considérer les navigateurs qui ne partagent pas le même moteur de chrome pour les sessions expérimentales. Dans les environnements d'entreprise, il est urgent de mettre en œuvre des politiques de groupe qui désactivent l'exécution de fond et bloquent les domaines suspects au niveau du pare-feu jusqu'à ce que les mises à jour fermes arrivent.

Du point de vue de la réponse et de la détection, les équipes de sécurité devraient surveiller les tendances anormales du trafic sortant des postes de travail qui correspondent aux comportements des robots (connections persistantes à des domaines inhabituels, pics réguliers de requêtes HTTP des navigateurs). Les solutions EDR et les systèmes de détection de réseau peuvent générer des signaux utiles pour identifier les clients engagés; dans les organisations moyennes et grandes, il convient d'élaborer des règles pour bloquer ou isoler les équipements affectés pendant que la cause est vérifiée.

La filtration laisse aussi une leçon d'organisation : La coordination entre l'identification de la vulnérabilité, l'étiquetage interne des procédés et la déclaration contrôlée est aussi essentielle que le patch technique. Marquage d'une incidence comme résolu sans déployer l'arrangement ou ouvrir l'information avant le temps crée des fenêtres de fonctionnement évitables. Les programmes de récompense (PRV) devraient être intégrés à des processus qui s'assurent que les changements dans les trackers ne révèlent pas de détails avant la publication du code correct.

Enfin, gardez votre navigateur et votre système d'exploitation à jour et gardez un œil sur Google officiel et d'autres gestionnaires de navigateur Chrome pour appliquer des mises à jour d'urgence. Dans l'intervalle, agir avec prudence lors de la visite de sites inconnus et examiner régulièrement les travailleurs de service enregistrés dans votre navigateur: un tel contrôle peut faire la différence entre un ordinateur sain et celui qui agit silencieusement dans le cadre d'un réseau malveillant.