Google a corrigé une nouvelle faille mémoire dans Chrome que des attaquants exploitaient déjà, portant à huit le bilan des zero-days Chrome activement exploités cette année. La dernière mise à jour Chrome zero-day 2026 suit un schéma familier : une faille est découverte comme étant utilisée dans la nature, Google publie un correctif, et les utilisateurs sont invités à mettre à jour et à redémarrer. Les détails de la dernière faille sont minces dans les informations dont nous disposons, aussi cet article se concentre-t-il sur ce que ce schéma signifie et sur ce que vous devez faire à ce sujet.
Pourquoi Chrome continue d'accumuler les zero-days cette année
Huit zero-days en une seule année, c'est beaucoup pour un seul navigateur, et le compte ne cesse de grimper. Juste avant celui-ci, nous avions couvert comment Chrome 153 a corrigé le septième zero-day de 2026. Il y en a maintenant un huitième.
Le fil conducteur, ce sont les failles mémoire. Chrome est une base de code immense qui traite du contenu non fiable provenant de chaque site web que vous visitez, et une grande partie est écrite dans des langages où des erreurs de gestion de la mémoire sont possibles. Quand une erreur passe entre les mailles, elle peut parfois être transformée en arme. Cela fait du navigateur une cible constante.
Un « zero-day » signifie que les attaquants sont arrivés les premiers. Le fournisseur n'avait aucun correctif disponible au moment où l'exploitation a commencé, il n'y avait donc aucune fenêtre pendant laquelle les utilisateurs auraient pu se protéger en mettant à jour. C'est pourquoi le correctif, une fois qu'il existe, compte autant.
Ce que les attaquants peuvent faire avec une faille mémoire exploitée
Les failles de sûreté mémoire permettent généralement à un attaquant de faire se comporter le navigateur d'une manière que ses concepteurs n'avaient jamais prévue. En pratique, cela peut signifier exécuter du code malveillant sur votre appareil après que vous avez simplement visité une page piégée. Les capacités exactes dépendent de la faille spécifique et de son éventuel couplage avec d'autres failles.
Ce couplage mérite d'être compris. Les navigateurs modernes isolent le contenu web dans un bac à sable (sandbox), si bien qu'une seule faille ne suffit souvent pas à une compromission complète. Les attaquants combinent parfois plusieurs vulnérabilités pour s'en échapper. Nous avons examiné cela dans notre rapport sur une chaîne de zero-day Chrome qui échappe au bac à sable, qui montre comment des failles distinctes peuvent être assemblées en un seul exploit fonctionnel.
Le point essentiel pour les utilisateurs au quotidien : vous n'avez pas besoin de télécharger quoi que ce soit ni de cliquer sur une invite suspecte pour qu'un exploit de navigateur ait un impact. Le simple fait de charger du contenu peut suffire, ce qui explique pourquoi ces failles sont prises au sérieux même lorsque les détails publics sont rares.
Pourquoi un VPN n'arrête pas les exploits de navigateur
Il est facile de supposer que les outils de confidentialité couvrent tout. Ce n'est pas le cas. Un VPN chiffre le trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. C'est utile pour la confidentialité sur des réseaux non fiables, mais cela opère au niveau du réseau.
Un exploit de navigateur se produit à l'intérieur du navigateur lui-même. Si une page malveillante déclenche une faille mémoire dans Chrome, le tunnel VPN ne fait que transporter la page jusqu'à vous, exploit compris. Le chiffrement n'inspecte pas et ne neutralise pas ce que fait la page une fois que Chrome l'a rendue.
Ce n'est pas un argument contre l'utilisation d'un VPN pour ce à quoi il est destiné. C'est un rappel que des outils différents résolvent des problèmes différents. Pour les vulnérabilités de navigateur, la défense pertinente, c'est le correctif.
Comment vérifier que Chrome est entièrement à jour
Chrome se met généralement à jour tout seul en arrière-plan, mais le correctif ne s'applique qu'une fois le navigateur redémarré. Beaucoup de gens laissent Chrome ouvert pendant des jours ou des semaines, ce qui peut laisser un écart entre correctif téléchargé et correctif appliqué.
- Ouvrez Chrome et cliquez sur le menu à trois points dans le coin supérieur droit.
- Allez dans Aide, puis À propos de Google Chrome.
- Laissez Chrome rechercher des mises à jour. Si une mise à jour est disponible, elle se téléchargera automatiquement.
- Cliquez sur Relancer lorsque cela vous est proposé. Vos onglets sont généralement restaurés par la suite.
- Rouvrez la page À propos pour confirmer qu'elle indique que Chrome est à jour.
Si vous gérez des appareils pour un foyer ou une petite équipe, répétez cette opération sur chaque ordinateur et téléphone qui utilise Chrome. Les navigateurs basés sur le même moteur peuvent aussi recevoir leurs propres correctifs, alors vérifiez-les également.
Les échéances de correctifs peuvent aussi compter dans les organisations. Notre couverture de l'échéance du 18 septembre de la CISA pour un zero-day Chrome est un bon exemple de la rapidité avec laquelle les consignes peuvent évoluer une fois l'exploitation confirmée.
Ce que cela signifie pour vous
Pour la plupart des gens, le risque lié à un zero-day donné est faible, et le remède est rapide. Mais le flux régulier de correctifs cette année suggère que traiter les mises à jour de navigateur comme optionnelles est une erreur. Les attaquants trouvent clairement et utilisent des failles Chrome avant que des correctifs existent, donc le temps entre la publication d'un correctif et son application par vous est la partie que vous contrôlez.
Quelques habitudes pratiques aident :
- Redémarrez Chrome régulièrement. Une mise à jour téléchargée ne fait rien tant que vous ne relancez pas le navigateur.
- Vérifiez la page À propos chaque fois que vous voyez une actualité sur un nouveau zero-day Chrome.
- Gardez aussi votre système d'exploitation à jour, car les exploits de navigateur sont parfois enchaînés avec d'autres failles.
- Utilisez un VPN pour ce qu'il fait bien, comme protéger le trafic sur un Wi-Fi public, mais ne comptez pas sur lui pour bloquer les attaques de navigateur.
À retenir : mettez à jour et relancez maintenant
La dernière mise à jour Chrome zero-day 2026 est un rappel de plus que la protection la plus efficace contre les exploits de navigateur est un navigateur corrigé. Ouvrez maintenant la page À propos de Chrome, installez la dernière mise à jour et relancez. Pour comprendre comment les problèmes de cette année se sont accumulés, lisez notre rapport précédent sur Chrome 153 et son septième correctif zero-day. Cela prend moins d'une minute, et cela ferme la porte à une faille que des attaquants utilisaient déjà.
