Une vulnérabilité zero-day récemment signalée dans Google Chrome a attiré l'attention de toute la communauté tech. L'article source qui la décrit est pauvre en détails techniques : il qualifie la faille de critique et affirme qu'elle soulève des questions plus larges sur la sécurité des navigateurs, mais il ne mentionne ni CVE, ni version de correctif, ni date. Cela limite ce que nous pouvons dire de manière responsable sur le bug lui-même. Cela ne limite pas ce que vous pouvez faire à ce sujet. Installer la dernière mise à jour de la vulnérabilité zero-day de Chrome est l'étape la plus utile, et elle compte plus que n'importe quel outil de confidentialité que vous pourriez avoir en parallèle. ## Ce que nous savons de la vulnérabilité zero-day de Chrome Un zero-day est une faille logicielle que les attaquants peuvent exploiter avant que l'éditeur n'ait publié un correctif, ou pendant que le correctif parvient encore aux utilisateurs. Le nom vient du fait que les développeurs ont eu zéro jour pour réagir. Comme Chrome est l'un des navigateurs les plus utilisés, une faille qui l'affecte est attrayante pour les attaquants et importante à prendre au sérieux pour tous les autres. L'article que nous avons examiné indique seulement qu'une vulnérabilité zero-day a été récemment découverte dans Chrome et qu'il s'agit d'une faille critique. Il ne donne pas de détails techniques, nous n'allons donc pas les deviner. Si vous voulez des précisions comme le composant affecté ou la version exacte corrigée, consultez les notes de version officielles de Chrome de Google et l'invite de mise à jour dans le navigateur lui-même. Tant que ces détails ne sont pas confirmés, l'hypothèse prudente est simple : si votre navigateur n'est pas sur la dernière version, mettez-le à jour. ## Comment vérifier votre version de Chrome et le mettre à jour Chrome se met généralement à jour tout seul en arrière-plan, mais la mise à jour ne s'applique qu'une fois le navigateur redémarré. Beaucoup de gens laissent Chrome ouvert pendant des jours ou des semaines, ce qui signifie qu'un correctif téléchargé peut rester inutilisé. Voici une vérification rapide : 1. Ouvrez Chrome et cliquez sur le menu à trois points dans le coin supérieur droit. 2. Allez dans Aide, puis À propos de Google Chrome. 3. Chrome vérifiera les mises à jour et affichera votre version actuelle. Si une mise à jour est disponible, elle se téléchargera automatiquement. 4. Cliquez sur Relancer pour terminer l'installation. Sur Android et iOS, ouvrez votre boutique d'applications, cherchez Chrome et installez toute mise à jour en attente. Si vous utilisez d'autres navigateurs construits sur le même moteur, comme Edge, Brave ou Opera, vérifiez-les également. Les navigateurs qui partagent une base de code ont souvent besoin de leur propre correctif, et celui-ci peut arriver selon un calendrier différent. Si vous gérez des appareils pour une équipe, vérifiez que les mises à jour automatiques ne sont pas bloquées par une politique et que les utilisateurs redémarrent réellement leur navigateur. ## Comment les zero-days de navigateur exposent vos données Votre navigateur, c'est là où se déroule une grande partie de votre vie numérique : e-mails, banque, outils de travail et mots de passe enregistrés. Une exploitation réussie du navigateur peut permettre à un attaquant d'exécuter du code sur votre appareil, souvent simplement en vous amenant à visiter une page web malveillante ou compromise. Selon la faille, cela peut ouvrir la porte au vol de cookies de session, d'identifiants enregistrés ou à d'autres logiciels malveillants. Le point clé est que l'attaque se produit sur votre appareil, à l'intérieur du navigateur, après que la page web vous a été livrée. Le chiffrement du trafic ne change rien à ce que le navigateur fait du contenu qu'il reçoit. C'est pourquoi une faille dans le navigateur lui-même est un type de problème différent de l'espionnage du réseau, et pourquoi la correction est la défense principale. Le volet business mérite aussi d'être compris. Les exploits non corrigés peuvent coûter cher aux organisations, un thème que nous avons abordé dans notre analyse de la [cyber-résilience des PME après des attaques zero-day](/en/sme-cyber-resilience-60-fail-after-zero-day-attacks). ## Protection en couches : ce qu'un VPN couvre et ne couvre pas Un VPN chiffre la connexion entre votre appareil et le serveur VPN, et il masque votre adresse IP aux sites que vous visitez. C'est utile sur le Wi-Fi public et pour limiter certains types de traçage. Ce n'est pas un bouclier contre les exploits du navigateur. Si une page malveillante exploite une faille de Chrome, l'exploit s'exécute de la même manière, que votre trafic soit tunnelisé ou non. Considérez la sécurité comme des couches, chacune couvrant un risque différent : - **Mises à jour :** corrigent la faille elle-même. C'est la première et la plus importante des couches. - **Revue des extensions :** moins d'extensions signifie une surface d'attaque plus réduite. - **Habitudes de navigation sûres :** évitez les liens et téléchargements inattendus. - **Authentification forte :** utilisez des mots de passe uniques et l'authentification à deux facteurs pour qu'un identifiant volé soit moins utile. - **VPN :** protège votre trafic en transit et masque votre adresse IP. Il complète les autres couches mais ne les remplace pas. ## Ce que cela signifie pour vous Pour la plupart des gens, l'impact pratique est faible si vous agissez rapidement. La mise à jour prend quelques minutes. Le vrai risque vient du retard, car les attaquants agissent vite une fois une faille publique. Si vous avez repoussé le redémarrage du navigateur, c'est le moment. Si vous comptez sur un VPN et pensiez qu'il vous couvrait ici, ajustez cette attente : il gère la confidentialité du réseau, pas les bugs du navigateur. ## À retenir - Mettez Chrome à jour maintenant et cliquez sur Relancer pour que le correctif s'applique réellement. - Vérifiez aussi les autres navigateurs basés sur Chromium et vos applications mobiles. - Passez en revue vos extensions et retirez celles que vous n'utilisez plus ou que vous ne reconnaissez pas. - Considérez un VPN comme une couche parmi d'autres, et non comme un correctif pour une mise à jour de vulnérabilité zero-day de Chrome. - Confirmez les détails techniques via les notes de version officielles de Google plutôt que de vous fier à des rapports vagues. Pour un contexte plus large sur ce que les exploits non corrigés peuvent coûter aux organisations, lisez notre article sur la [cyber-résilience des PME après des attaques zero-day](/en/sme-cyber-resilience-60-fail-after-zero-day-attacks).