Chrome Zero-Day CVE-2026-85046 : la date limite du 18 septembre fixée par la CISA

Une faille Chrome déjà utilisée par des attaquants

Google a corrigé une autre faille zero-day de Chrome activement exploitée, et le compte à rebours est désormais lancé pour ceux qui n'ont pas encore mis à jour. La faille, suivie sous le nom de CVE-2026-85046, a été corrigée le 4 septembre 2026, mais l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) l'a déjà ajoutée à son catalogue de vulnérabilités connues et exploitées (KEV), donnant aux agences fédérales jusqu'au 18 septembre pour appliquer le correctif. Cette courte fenêtre est un signal fort de la gravité avec laquelle les responsables de la sécurité traitent cette faille, et c'est un rappel que les utilisateurs quotidiens de Chrome ne devraient pas non plus attendre.

Ce n'est pas la première fois que cette vulnérabilité spécifique fait la une des actualités. Comme nous l'avons couvert lorsque le correctif du zero-day Chrome CVE-2026-85046 a été publié pour la première fois, Google a émis une mise à jour d'urgence après avoir confirmé que des attaques dans le monde réel exploitaient déjà la faille avant qu'un correctif ne soit disponible. La date limite de la CISA ajoute une nouvelle couche d'urgence à une histoire qui évoluait déjà rapidement.

Ce qui rend CVE-2026-85046 dangereuse

CVE-2026-85046 se trouve dans V8, le moteur JavaScript et WebAssembly qui alimente Chrome et tous les navigateurs basés sur Chromium. Plus précisément, il s'agit d'une vulnérabilité de confusion de type, une classe de faille où le navigateur identifie mal le type de données qu'il traite, ce qui peut permettre à des attaquants de manipuler la mémoire d'une manière jamais prévue. En pratique, cela signifie qu'une page web spécialement conçue peut déclencher la faille et potentiellement exécuter du code arbitraire dans le bac à sable du navigateur, l'environnement isolé que Chrome utilise pour empêcher le contenu malveillant d'atteindre le reste de votre système.

Étant donné que la vulnérabilité était déjà exploitée dans la nature avant que Google ne publie un correctif, elle est qualifiée de véritable zero-day. Les attaquants n'avaient pas besoin de faire de rétro-ingénierie sur le correctif pour comprendre comment abuser de la faille ; ils l'utilisaient déjà contre des cibles réelles. C'est précisément pourquoi la CISA a agi rapidement pour l'ajouter au catalogue KEV, une liste réservée aux vulnérabilités avec une exploitation active confirmée plutôt qu'un risque théorique.

Le correctif est arrivé dans le cadre d'une version de sécurité plus large de Chrome traitant plusieurs vulnérabilités, mais CVE-2026-85046 s'est démarquée en raison de son statut d'exploitation active. Comme nous l'avons détaillé dans notre couverture précédente exhortant les utilisateurs à mettre à jour Chrome immédiatement en raison du risque pour la vie privée, une exploitation réussie pourrait potentiellement exposer l'activité de navigation, les données de session ou d'autres informations sensibles à un attaquant qui obtient l'exécution de code dans votre navigateur.

Pourquoi la date limite de la CISA compte au-delà des réseaux gouvernementaux

Le catalogue KEV de la CISA est techniquement un mandat pour les agences civiles fédérales, mais son impact dans le monde réel va beaucoup plus loin. Lorsque la CISA fixe une date limite ferme comme le 18 septembre, elle diffuse en réalité une évaluation des risques à toute l'industrie de la sécurité : cette faille est sérieuse, elle est activement utilisée, et les organisations de toutes tailles devraient traiter son correctif comme une priorité, et non comme une mise à jour de routine à faire plus tard.

De nombreuses entreprises, services informatiques et équipes de sécurité en dehors du gouvernement utilisent le catalogue KEV comme référence pour leurs propres délais de gestion des correctifs. Si une vulnérabilité figure sur la liste, elle passe généralement en tête de file. Pour les utilisateurs individuels, il n'y a pas de date limite formelle, mais la même logique s'applique. Chrome se met à jour silencieusement en arrière-plan pour la plupart des utilisateurs, mais cela ne fonctionne que si le navigateur a l'occasion de redémarrer et d'appliquer la mise à jour. Si vous avez gardé les mêmes onglets Chrome ouverts pendant des jours ou des semaines sans redémarrer, vous utilisez peut-être encore une version vulnérable.

Ce que cela signifie pour vous

Si vous utilisez Chrome, ou tout navigateur basé sur Chromium qui hérite du même moteur V8, cela mérite cinq minutes d'attention aujourd'hui. L'exploit ne nécessite pas de télécharger un fichier ou de cliquer sur un lien suspect au sens traditionnel ; simplement visiter une page web malveillante ou compromise pourrait suffire à le déclencher. Cela fait de la mise à jour du navigateur l'une des rares tâches de sécurité où le correctif est entièrement sous votre contrôle et demande presque aucun effort.

Les utilisateurs à domicile, les petites entreprises et toute personne gérant ses propres appareils devraient traiter cela de la même manière que la CISA traite les réseaux fédéraux : comme une priorité, et non comme une tâche à faire plus tard. La bonne nouvelle est que, contrairement à de nombreuses vulnérabilités, celle-ci dispose déjà d'un correctif disponible et prêt.

Points clés à retenir

• Ouvrez le menu de Chrome, allez dans Aide > À propos de Google Chrome, et laissez-le vérifier les mises à jour. Redémarrez le navigateur une fois la mise à jour téléchargée pour vous assurer que le correctif prend réellement effet.
• Vérifiez les navigateurs basés sur Chromium que vous utilisez (y compris ceux construits sur le même moteur) pour leurs propres mises à jour de sécurité, car la faille sous-jacente de V8 peut également les affecter.
• Ne comptez pas uniquement sur les mises à jour automatiques en arrière-plan si vous fermez ou redémarrez rarement votre navigateur. Déclencher manuellement une vérification garantit que vous n'exécutez pas un code obsolète et vulnérable.
• Si vous gérez des appareils pour une entreprise ou une organisation, priorisez ce correctif de la même manière que la date limite du KEV de la CISA le suggère pour les agences fédérales, même si vous n'êtes pas lié par la même date du 18 septembre.
• Restez vigilant pour les futurs bulletins de sécurité de Chrome. Les zero-days comme CVE-2026-85046 ont tendance à arriver en grappes, et un correctif rapide reste la défense la plus fiable disponible pour les utilisateurs quotidiens.

Mettre à jour votre navigateur ne prend qu'un instant, mais cela ferme la porte à une vulnérabilité que les attaquants utilisaient déjà avant même que Google n'ait un correctif prêt. Cet écart entre l'exploitation et le correctif est exactement la raison pour laquelle rester à jour avec les mises à jour de Chrome mérite une place permanente sur votre liste de contrôle de sécurité numérique.