Google corrige neuf vulnérabilités dans Chrome; CVE-2026-125350 déjà exploité

Google a publié lundi des mises à jour de sécurité pour le navigateur Chrome qui corrigent neuf vulnérabilités, y compris un échec de haute gravité que la société confirme est activement exploité dans des environnements réels. Le jugement reçu CVE-2026-125350 a été décrit par Google comme une erreur de typeutilisation après utilisationdans la composante XML du navigateur; un chercheur anonyme a mis en garde contre le problème le 6 novembre 2026 et Google déclare être « conscient qu'il y a une explosion pour CVE-2026-125350 dans la nature ». Les versions Chrome qui corrigent le problème sont 157.0.8103.50 / .51 pour Windows et macOS, et 157.0.8103.50 pour Linux. (Pour mettre à jour, ouvrez Plus > Aide > À propos de Google Chrome et sélectionnez Recharger).

Ce que nous savons à coup sûr: Google a lancé des correctifs qui résolvent neuf échecs ; l'un d'eux, CVE-2026-125350, est un utilisateur après-libre dans le code qui traite XML et est exploité dans la nature selon l'entreprise elle-même. La découverte a été signalée par un chercheur anonyme le 6 novembre 2026 et Google applique la pratique habituelle de restreindre les détails techniques jusqu'à ce que la plupart des utilisateurs aient reçu l'arrangement. En outre, la société indique qu'il s'agit d'une autre dans une série de vulnérabilités exploitées en 2026; depuis le début de l'année, elle a atténué huit cero-jours activement exploités, avec CVE publiquement coté par Google.

Ce qu'on entend techniquement par utilisation-après@-@ libre en XML: autilisation après utilisationIl se produit lorsque le programme a déjà été libéré en mémoire; le résultat typique est un comportement imprévisible qui peut entraîner un crash, la corruption de données ou l'exécution de code arbitraire si un attaquant est en mesure de contrôler le contenu de cette mémoire. Dans ce cas, l'échec est dans le traitement XML, suggérant que les vecteurs plausibles comprennent des documents XML malformés, des charges utiles intégrées sur le Web utilisant des analyseurs XML, ou du contenu manipulé par des extensions ou des composants qui transmettent des données XML au moteur vulnérable. Cependant, Google n'a pas publié le mécanisme d'exploitation exact ou des échantillons, de sorte que le vecteur précis utilisé dans les attaques actives n'est pas publiquement confirmé.

Incidences pratiques: si un attaquant exploite avec succès cette vulnérabilité dans un système de non-patching, il pourrait passer de l'exécution de code dans le processus Chrome à potentiellement exécuter le code avec les privilèges de l'utilisateur exécutant le navigateur. Au mieux, le résultat est une défaillance du processus et la perte de l'onglet ou de la session; au pire, un équipement compromis, la perte de données ou le pont pour d'autres intrusions dans l'environnement utilisateur. Puisque Google a déjà reconnu l'exploitation active, le risque pour les utilisateurs qui ne mettent pas à jour est immédiat.

Ce qui n'est pas confirmé: la signature derrière les attaques, l'échelle de campagne (nombre de victimes), et le vecteur de livraison exact (par exemple, sites malveillants vs pièces jointes) n'ont pas été divulgués par Google. La société avertit également qu'elle maintiendra des restrictions à la divulgation si la vulnérabilité réside dans une librairie tierce que d'autres projets n'ont pas encore résolu; cette unité externe, si elle existe, n'a pas été spécifiée publiquement. Par conséquent, toute déclaration sur l'attribution ou la technique spécifique utilisée en « nature » serait une estimation pour le moment.

Pour contraster et suivre les annonces officielles sur les correctifs et les détails techniques, vous pouvez vérifier les communications de Google sur les versions et la sécurité dans le blog Chrome Releases et la documentation d'appui sur la façon de mettre à jour le navigateur: https: / / chromerease.googleblog.com / et https: / / support.google.com / chrome / ansher / 95414. Il est également recommandé de surveiller la DNV pour les futures entrées CVE: https: / / nvd.nist.gov /.

Recommandations spécifiques pour les utilisateurs privés: d'abord, mettre à jour Chrome immédiatement à la version stable indiquée (ouvrir Plus > Aide > À propos de Google Chrome et laissez le navigateur relance). Vérifiez la version installée en chromer: / / version. Ensuite, après mise à jour, redémarrez le système si le processus d'installation le demande. Troisièmement, activer la mise à jour automatique si elle n'est pas activée et envisager d'activer la protection améliorée dans Chrome (Paramètres > Confidentialité et Sécurité > Google Services) pour obtenir des alertes plus tôt sur les téléchargements et les sites dangereux. Quatrièmement, limiter l'exposition : évitez de télécharger ou d'ouvrir des documents ou fichiers XML inconnus et gardez les extensions au minimum, en examinant les autorisations et l'origine de chacun.

Recommandations aux gestionnaires et aux équipes de sécurité: afficher le patch sur tous les équipements gérés dès que possible en utilisant vos outils de gestion de patch et les politiques Chrome Enterprise. Il évalue la mise à jour dans les environnements d'essai avant le déploiement en masse, mais priorise l'accélération du déploiement compte tenu de l'état de fonctionnement actif. Renforcer les contrôles compensatoires: appliquer l'isolement du site (isolement du site), les politiques de blocage des extensions non approuvées, et le contenu / IPS filtres de verrouillage qui peuvent détecter des charges malveillantes. Vérifiez les enregistrements EDR / IDS pour identifier l'activité suspecte dans les jours pré-patch et post-patch et préparer des règles de détection pour les schémas d'exploitation communs (p. ex., charges XML inhabituelles aux processus du navigateur).

Enfin, rappelez-vous que la chaîne d'approvisionnement est importante: si votre organisation utilise des navigateurs dérivés du chrome (Microsoft Edge, Brave, Opera, Vivaldi, etc.), vous devez être attentif aux avis et correctifs que ces fournisseurs publient; parfois l'arrangement vient en retard avec Chrome. Google a explicitement rappelé que les navigateurs basés sur le chrome devraient également appliquer des corrections lorsque disponibles.

En bref, l'échec CVE-2026-125350 est un risque réel et présent - confirmé par Google comme exploité -; la défense immédiate est d'appliquer la mise à jour propagée par Chrome et de prendre des mesures d'atténuation supplémentaires dans les environnements à haut risque jusqu'à ce que la télémétrie et l'analyse médico-légale confirment qu'il n'y a pas d'infection. Gardez à l'esprit les communiqués officiels et la publication d'indicateurs d'engagement par les fournisseurs et les équipes d'intervention.