Google a corrigé lundi 9 novembre une faille de Chrome déjà exploitée par des attaquants, la huitième de l’année, d’après BleepingComputer. Référencée CVE-2026-125350, elle touche le composant XML du navigateur.
La correction est livrée dans Chrome 157, versions 157.0.8103.50 et .51 sur Windows et Mac, 157.0.8103.50 sur Linux, selon The Register. Le déploiement se fait « sur plusieurs jours, voire semaines » : il vaut mieux vérifier soi-même.
Prudence toutefois : Google n’a donné aucun détail sur les attaques, ni sur leurs auteurs ou leurs cibles, et restreint l’accès aux informations techniques tant que la majorité des utilisateurs n’est pas à jour.
Ce que l’on sait de la faille
CVE-2026-125350 est une faille de type « use-after-free » : le parseur XML libère un objet sans effacer le pointeur qui y renvoie, ce qui ouvre la porte à une exécution de code. Google la classe en gravité élevée. L’éditeur écrit « être au courant qu’un exploit existe dans la nature », la formule qu’il emploie pour confirmer une exploitation active. Elle a été signalée anonymement le 6 novembre.
La mise à jour corrige aussi CVE-2026-125346, un autre use-after-free du composant XML, que Google ne dit pas exploité, ainsi que plusieurs failles de gravité élevée dans WebGL, FileSystem, le GPU, la composition et V8, d’après The Register.
Les sept précédentes de 2026
Cette huitième faille égale le total de 2025. Selon BleepingComputer, les sept premières sont CVE-2026-2441 (mi-février), CVE-2026-3909 et CVE-2026-3910 (mars), CVE-2026-5281 (avril), CVE-2026-11645 (juin), puis CVE-2026-87491 et CVE-2026-85046 (septembre). Quatre d’entre elles concernent le moteur JavaScript V8 ou son environnement de rendu, une cible de prédilection des attaquants.
Vérifier sa version et mettre à jour
Sur ordinateur, ouvrez le menu de Chrome, puis Paramètres, puis « À propos de Chrome ». Le navigateur recherche la mise à jour, la télécharge et affiche un bouton pour relancer. La version doit commencer par 157 et se terminer par .50 ou .51 sur Windows et Mac. Tant que vous n’avez pas relancé, l’ancienne version reste active. À défaut, Chrome applique la mise à jour au prochain démarrage, précise BleepingComputer.
Sur Android et iPhone, passez par le Play Store ou l’App Store. Google a aussi publié une mise à jour pour Android le 11 novembre, mentionnée sur son blog, que nous n’avons pas pu lire en détail.
Les autres navigateurs et les bons réflexes
Les navigateurs construits sur Chromium, comme Edge, Brave, Opera ou Vivaldi, reprennent d’ordinaire les correctifs de Chrome avec quelques jours de décalage. Nous n’avons pas trouvé leurs numéros de version corrigés : ouvrez la page « À propos » de chacun et lancez la recherche de mise à jour.
En attendant, évitez les liens et pages inconnus, et ne repoussez pas la relance du navigateur. Dans une entreprise, les administrateurs peuvent pousser la version 157 via leurs outils de gestion. Nous avions déjà détaillé les protections de Chrome contre les sites dangereux.
Reste à connaître l’origine des attaques
Reste à savoir qui exploite cette faille et contre qui : Google n’a rien précisé. Nous mettrons cet article à jour si l’éditeur ou des chercheurs publient de nouveaux éléments.