Google a publié des mises à jour de sécurité d'urgence pour corriger une nouvelle vulnérabilité de Chrome exploitée dans des attaques zero-day, la huitième de ce type depuis le début de l'année.
« Google est au courant de l'existence d'un exploit pour la CVE-2026-125350 dans la nature », a déclaré l'entreprise dans un avis de sécurité publié lundi.
La faille est une vulnérabilité d'utilisation après libération de haute gravité dans le composant XML du navigateur web Google Chrome. Elle se produit lorsque le parseur XML du navigateur traite des données, supprime un objet de la mémoire de l'ordinateur, mais ne parvient pas à effacer le pointeur faisant référence à cet objet. Les attaquants peuvent exploiter cette vulnérabilité de corruption de mémoire lorsque le navigateur tente ultérieurement d'utiliser ou de lire cet espace mémoire libéré pour manipuler la disposition de la mémoire et exécuter du code malveillant.
Un chercheur anonyme a signalé le problème à Google le 6 novembre. Google n'a pas partagé de détails supplémentaires sur les attaques exploitant la vulnérabilité.
« L'accès aux détails du bug et aux liens peut être maintenu restreint jusqu'à ce que la majorité des utilisateurs soient mis à jour avec une correction. Nous conserverons également les restrictions si le bug existe dans une bibliothèque tierce dont d'autres projets dépendent de manière similaire, mais qui ne l'ont pas encore corrigé », a noté Google.
Les correctifs sont inclus dans les mises à jour Chrome 157, spécifiquement les versions 157.0.8103.50/.51 pour Windows et Mac, et 157.0.8103.50 pour Linux. Google indique que la mise à jour de sécurité pourrait prendre plusieurs jours ou semaines pour atteindre tous les utilisateurs de Chrome.
Depuis le début de l'année, Google a traité sept autres vulnérabilités zero-day activement exploitées :
- CVE-2026-2441, un bug d'invalidation d'itérateur dans CSSFontFeatureValuesMap, corrigé mi-février
- CVE-2026-3909, une vulnérabilité d'écriture hors limites dans la bibliothèque graphique 2D Skia, corrigée en mars
- CVE-2026-3910, une vulnérabilité de mise en œuvre inappropriée dans le moteur JavaScript et WebAssembly V8, corrigée en mars
- CVE-2026-5281, une vulnérabilité d'utilisation après libération dans Dawn, corrigée en avril
- CVE-2026-11645, une vulnérabilité de lecture et d'écriture hors limites dans le moteur JavaScript V8 de Chrome, corrigée en juin
- CVE-2026-85046, une faille de confusion de type dans le moteur JavaScript V8, corrigée en septembre
- CVE-2026-87491, une faille d'écriture hors limites dans le moteur JavaScript V8, corrigée en septembre