Chrome 156 : encore 52 failles corrigées, dont 4 critiques

Google n'a visiblement pas terminé son grand nettoyage de Chrome ! Le 20 octobre dernier, le navigateur recevait une mise à jour corrigeant pas moins de 353 vulnérabilités, dont six critiques. On aurait pu croire qu'il serait tranquille pour quelques semaines. Raté ! Sept jours plus tard, une nouvelle version vient de débarquer avec 52 correctifs supplémentaires, dont quatre concernant des failles particulièrement sérieuses.

Disponible depuis le 27 octobre 2026, cette mise à jour porte Chrome aux versions 156.0.8078.73 et .74 sur Windows et macOS, et 156.0.8078.73 sur Linux. Android bénéficie également du correctif. Rien de spectaculaire dans l'interface, mais sous le capot, Google a encore trouvé de quoi occuper ses équipes de sécurité.

Quatre failles critiques, et pas des moindres

Parmi les 52 vulnérabilités corrigées, Google en classe quatre comme critiques, 46 comme importantes et deux comme modérées. Les problèmes concernent différents composants du navigateur, notamment la gestion des fichiers, l'affichage des pages Internet et le traitement des images.

Deux vulnérabilités critiques, identifiées sous les références CVE-2026-118306 et CVE-2026-118331, touchent respectivement FileSystem et FileAPI. Ces composants permettent notamment aux applications Web de manipuler certaines données et d'interagir avec des fichiers, dans les limites des autorisations accordées par le navigateur.

Les deux autres, CVE-2026-118348 et CVE-2026-118344, concernent Skia et Layout. Le premier est un moteur graphique utilisé pour dessiner les éléments affichés à l'écran. Le second participe au calcul de leur disposition dans les pages Web.

Plusieurs de ces vulnérabilités impliquent des erreurs de gestion de la mémoire ou de vérification des données. Pour simplifier, un programme peut parfois manipuler des informations qu'il ne devrait pas utiliser de cette manière. Dans certaines circonstances, ce type de problème peut provoquer un plantage ou ouvrir la voie à des attaques plus sérieuses.

Attention toutefois à ne pas imaginer que les quatre failles permettent automatiquement de prendre le contrôle d'un ordinateur. Leur exploitation dépend de conditions techniques précises, et Google ne signale pas d'attaque active les utilisant dans son communiqué du 27 octobre.

Claude et Codex participent à la chasse aux bugs

Un détail assez intéressant apparaît dans le bulletin de sécurité. Plusieurs vulnérabilités ont été découvertes par des chercheurs utilisant des outils d'intelligence artificielle.

Le chercheur Xinyang Ge, associé à Anthropic, est notamment crédité de la découverte de deux des quatre failles critiques avec l'assistance de Claude. D'autres problèmes ont été signalés grâce à cette collaboration entre chercheurs et IA.

OpenAI apparaît également dans la liste, avec quatre vulnérabilités importantes découvertes par son outil Codex Security. Les composants concernés comprennent notamment le traitement des vidéos, des images et des fichiers PDF.

Il y a quelque chose d'assez amusant à voir les intelligences artificielles de deux entreprises concurrentes participer à la protection du même navigateur. Mais surtout, cela montre que ces technologies commencent à trouver une véritable utilité dans la recherche de vulnérabilités.

Pas question pour autant de remplacer tous les spécialistes par des machines. Les outils peuvent aider à analyser d'énormes quantités de code, mais il faut encore comprendre les problèmes identifiés, vérifier leur gravité et développer des correctifs qui ne cassent pas autre chose au passage. Et dans un navigateur utilisé quotidiennement par des milliards de personnes, la moindre erreur peut avoir des conséquences plutôt gênantes.

Comment vérifier que Chrome est bien à jour ?

La bonne nouvelle, c'est que la mise à jour ne demande aucune manipulation compliquée. Sur ordinateur, ouvrez Chrome, cliquez sur les trois points en haut à droite, puis rendez-vous dans Aide et À propos de Google Chrome.

Le navigateur recherche automatiquement les mises à jour disponibles. Si une nouvelle version a été téléchargée, un bouton vous proposera de le relancer. Pensez à le faire : tant que Chrome n'a pas redémarré, le correctif peut rester en attente d'installation.

Pour vérifier précisément votre version, vous pouvez également saisir chrome://settings/help dans la barre d'adresse. Sur Windows et macOS, le numéro doit atteindre 156.0.8078.73 ou .74, et sur Linux, 156.0.8078.73. Une version ultérieure intégrant ces correctifs convient naturellement aussi.

Sur Android, la mise à jour est distribuée progressivement via Google Play. Quant aux utilisateurs de Chromebook, ils doivent passer par les mises à jour de ChromeOS, dont le calendrier et les numéros de version sont différents.

Un dernier point mérite d'être rappelé : si vous utilisez Microsoft Edge, Brave ou Opera, mettre Chrome à jour ne changera rien à votre navigateur. Même s'ils reposent sur Chromium, le projet sur lequel Chrome est construit, chacun possède son propre système de mises à jour.

En une semaine, Google aura donc annoncé plus de 400 corrections de sécurité à travers deux publications successives. Cela ne signifie pas que Chrome est soudainement devenu moins sûr, mais rappelle à quel point un navigateur moderne est un logiciel complexe, qui doit traiter quotidiennement des contenus provenant de sites parfois peu recommandables.

Et puis, entre nous, il vaut mieux découvrir ces problèmes grâce aux chercheurs plutôt qu'en apprenant qu'un pirate les exploite depuis plusieurs semaines. Quelques secondes pour vérifier une mise à jour, ce n'est finalement pas grand-chose !

La liste complète des nouvelles vulnérabilités figure dans le bulletin officiel de Google du 27 octobre.