Chrome : huitième zero-day de 2026 (CVE-2026-125350)

Publié le 10 novembre 2026 · L'équipe mitza.es

Le navigateur est l'application qui reste ouverte le plus longtemps dans n'importe quel bureau et celle qui exécute le plus de contenu tiers. C'est pourquoi, chaque fois que Google corrige une faille déjà exploitée, il vaut mieux le vérifier le jour même. Nous résumons ce que l'on sait au 10 novembre 2026 et, à la fin, comment mettre à jour Chrome pas à pas.

Ce qui s'est passé

9 novembre 2026 : Google publie une mise à jour du canal stable de Chrome pour ordinateur (elle figure avec cette date sur son blog officiel des versions, Chrome Releases).
Neuf vulnérabilités corrigées, selon l'analyse de SecurityWeek, dont un zero-day exploité : CVE-2026-125350, une faille de gravité élevée de type use-after-free (utilisation de mémoire déjà libérée) dans le composant XML du navigateur.
Signalée le 6 novembre par un chercheur anonyme, selon SecurityWeek. Trois jours plus tard, un correctif existait.
C'est le huitième zero-day de Chrome en 2026. Le précédent dont nous avons parlé était celui de septembre (CVE-2026-85046), le sixième de l'année.

Plusieurs sources concordent sur l'essentiel : le bulletin du SANS ISC du 10 novembre et le titre de The Hacker News renvoient au même identifiant, au composant XML et au caractère exploité de la faille. Ce qui n'est pas publié, c'est le détail : Google n'a pas expliqué comment elle est exploitée ni qui est visé, et à la clôture de cet article nous n'avons pas vu la faille dans le catalogue des vulnérabilités exploitées connues (KEV) de l'agence américaine CISA. Les versions précises que nous citons plus bas proviennent de SecurityWeek ; le texte de la note de Google n'a pas pu être lu en entier lors de la préparation de cet article.

Ce que signifie « use-after-free » en langage clair

Quand un programme a fini d'utiliser un morceau de mémoire, il le « libère » pour qu'il soit réutilisé. Dans un use-after-free, le programme continue d'utiliser cette zone après l'avoir libérée, et un attaquant qui parvient à y placer ses propres données peut détourner le comportement du navigateur. C'est l'une des familles d'erreurs les plus courantes dans les navigateurs. Avec des failles de ce type, il suffit souvent de visiter une page préparée à cet effet, sans rien télécharger ni ouvrir, mais pour ce cas précis il n'existe pas de détails techniques publics qui le confirment ni qui permettent d'en dire plus.

Quelle version il vous faut

Selon SecurityWeek, les versions corrigées sont la 157.0.8103.50 et .51 pour Windows et macOS et la 157.0.8103.50 pour Linux. La règle pratique est toujours la même : la version installée doit être égale ou supérieure à celle que Google indique pour votre système. Le même lot corrige en outre six failles de gravité élevée dans WebGL, FileSystem, Compositing, GPU, V8 et XML, et deux de gravité moyenne dans GPU.

Comment mettre à jour Chrome pas à pas

Sous Windows et macOS

Ouvrez Chrome et cliquez sur le menu à trois points, en haut à droite.
Allez dans Aide → À propos de Google Chrome (vous pouvez aussi saisir chrome://settings/help dans la barre d'adresse).
Chrome vérifie s'il existe une nouvelle version et la télécharge tout seul. Vous verrez le numéro de version sur cet écran.
Cliquez sur Relancer quand le bouton apparaît. Tant que vous ne redémarrez pas, le navigateur continue d'exécuter l'ancienne version, même si la nouvelle est déjà téléchargée.
Rouvrez le même écran et vérifiez que le numéro de version est égal ou supérieur à celui indiqué et que Chrome indique être à jour.

Sous Linux

Chrome se met à jour avec le gestionnaire de paquets de votre distribution (par exemple apt ou dnf), si vous l'avez installé depuis le dépôt officiel de Google. Mettez à jour le paquet et redémarrez le navigateur.

Sur mobile

Les notes que nous avons consultées parlent de la version pour ordinateur. Il reste néanmoins prudent d'ouvrir Google Play ou l'App Store et de vérifier que Chrome n'a pas de mise à jour en attente.

Si « la mise à jour n'apparaît pas »

Vérifiez que vous avez une connexion et rouvrez l'écran À propos de Google Chrome.
Si l'ordinateur appartient à votre entreprise, il se peut que les mises à jour soient gérées par un administrateur au moyen de stratégies et que le bouton n'apparaisse pas : demandez-lui de confirmer la version.
Si Chrome reste ouvert depuis des semaines sans redémarrer (très courant avec des dizaines d'onglets), redémarrez-le : c'est la cause la plus fréquente d'un correctif téléchargé mais non appliqué.
Si la mise à jour échoue, désinstallez Chrome et installez la dernière version depuis le site officiel de Google.

Edge, Brave, Opera et les autres navigateurs

De nombreux navigateurs reposent sur Chromium, le projet dont est issu Chrome, et reçoivent les corrections selon leur propre calendrier. Nous n'avons pas pu confirmer dans quelle version de chacun arrive cette correction ; le plus prudent est donc d'ouvrir leur écran de mise à jour et d'appliquer ce qu'ils proposent. L'avis que nous avons consulté concerne Chrome ; les navigateurs qui n'utilisent pas Chromium ont leurs propres avis.

Si vous gérez les ordinateurs d'une entreprise

Faites l'inventaire des navigateurs et des versions présents, y compris les portables qui ne se connectent que de temps en temps.
Définissez une politique de mise à jour qui force le redémarrage du navigateur passé un délai raisonnable après chaque mise à jour critique.
Classez les zero-days comme urgents : une faille déjà exploitée n'est pas une tâche pour la prochaine maintenance. Voici un guide pour lire les avis et fixer des délais.
Passez en revue les extensions installées et supprimez celles qui ne servent pas : c'est une autre porte d'entrée.
Formez le personnel à ne pas ouvrir de liens douteux : de nombreuses attaques commencent par un faux message, comme les faux SMS de la DGT, de Correos ou de l'agence fiscale ou les codes QR falsifiés.

Questions rapides

Si j'ai les mises à jour automatiques, suis-je protégé ?

Chrome télécharge les mises à jour en arrière-plan, mais le correctif ne s'applique que lorsque vous redémarrez le navigateur. Si vous le laissez ouvert pendant des jours, vous pouvez utiliser une version vulnérable.

Dois-je changer de navigateur ?

Non. Tous les navigateurs corrigent régulièrement des failles graves ; ce qui fait la différence, c'est de les mettre à jour rapidement. Huit zero-days en un an peuvent sembler beaucoup, mais l'important est que chacun soit corrigé dès que Google dispose du correctif.

Puis-je continuer à utiliser Chrome pendant la mise à jour ?

Oui. Au redémarrage, Chrome récupère généralement les onglets que vous aviez ouverts. Enregistrez auparavant ce que vous avez à moitié rempli dans des formulaires web.

Comment Mitza peut vous aider

Nous faisons l'inventaire des logiciels de votre entreprise, nous appliquons les mises à jour critiques et nous définissons une politique simple pour que cela ne dépende pas de la mémoire de chacun. Découvrez notre approche dans notre service de maintenance informatique pour PME ou exposez-nous votre cas depuis la page de contact.

Voir aussi : le Patch Tuesday de novembre 2026 (zero-day d'Outlook).

Chrome corrige son huitième zero-day de 2026 (CVE-2026-125350) : comment mettre à jour et vérifier que vous êtes protégé