Google a publié des mises à jour de sécurité d’urgence pour corriger une vulnérabilité zero-day dans le moteur V8 de Chrome, activement exploitée par des pirates. Répertoriée sous l’identifiant CVE-2026-85046 avec un score de gravité de 8,8, cette faille touche les navigateurs sous Windows, macOS et Linux.
La faille de type confusion CVE-2026-85046 dans le moteur V8 de Chrome
L’éditeur a déployé des correctifs indispensables pour neutraliser 12 vulnérabilités au total, parmi lesquelles une brèche critique fait l’objet d’attaques avérées en milieu réel. Cette faille de type confusion, documentée sous la référence CVE-2026-85046, affecte directement le composant V8 qui gère les scripts JavaScript et WebAssembly au sein du navigateur.
Selon les détails techniques enregistrés sur la plateforme de CVE, le problème survient lorsqu’une page HTML spécialement piégée est manipulée. La brèche permet à un attaquant distant d’exécuter du code arbitraire à l’intérieur du bac à sable selon les descriptions publiées par la source initiale. La découverte de cette faiblesse revient au chercheur en sécurité Salvatore Gulizia, également connu sous le pseudonyme de Serotav, qui a transmis ses conclusions le 4 août 2026 et reçu une prime de 1 000 dollars dans le cadre du programme de signalement de bogues de l’entreprise.
Salvatore Gulizia, chercheur en sécurité, a expliqué qu’un bogue V8 dans les compilateurs conduit un tableau contenant des PACKED_ELEMENTS à recevoir la correspondance PACKED_SMI_ELEMENTS, et que cela peut être transformé en une lecture/écriture arbitraire sur le tas JavaScript.
Dans ses notes d’analyse, le chercheur a précisé que la défaillance résidait à la fois dans les compilateurs maglev et turbofan, permettant de contourner les barrières de mémoire de l’application. D’après l’éditeur, l’existence d’un exploit opérationnel sur le terrain a motivé l’accélération du calendrier de publication, bien qu’aucun détail précis sur la nature des campagnes ciblées n’ait été rendu public afin de laisser le temps aux utilisateurs d’appliquer les correctifs nécessaires.
Une série de six zero-day colmatées depuis le début de l’année
Cette mise à jour d’urgence marque une étape importante pour l’écosystème du navigateur, s’inscrivant dans une suite de menaces récurrentes. L’incident représente la sixième vulnérabilité zero-day activement exploitée que l’entreprise doit corriger depuis le mois de janvier. Les précédents correctifs déployés pour contrer des brèches similaires survenues au cours des derniers mois englobent plusieurs incidents majeurs.
| Mois | Identifiant | Sévérité / Score | Type de vulnérabilité |
|---|---|---|---|
| Février 2026 | CVE-2026-2441 | CVSS 8.8 | Utilisation de mémoire libérée (Use-after-free) dans CSS |
| Mars 2026 | CVE-2026-3909 | CVSS 8.8 | Écriture hors limites dans la bibliothèque graphique Skia |
| Mars 2026 | CVE-2026-3910 | CVSS 8.8 | Défaillance dans le moteur V8 |
| Avril 2026 | CVE-2026-5281 | CVSS 8.8 | Utilisation de mémoire libérée dans le composant Dawn |
| Juin 2026 | CVE-2026-11645 | CVSS 8.8 | Lecture et écriture hors limites dans le moteur V8 |
L’analyse comparée de ces incidents démontre la persistance des attaques ciblant les moteurs d’exécution et les bibliothèques graphiques. Les spécialistes du secteur rappellent régulièrement que le grand nombre d’installations de ces applications en fait des cibles privilégiées pour les groupes d’attaquants cherchant à contourner les protections systémiques par des chaînes de vulnérabilités.
Modalités de mise à jour et consignes pour les utilisateurs
Pour se prémunir contre ces exécutions de code non autorisées, les utilisateurs de Chrome doivent impérativement installer les versions les plus récentes. La mise à jour stabilise le logiciel sur les déclinaisons 152.0.7977.82 et 152.0.7977.83 pour les environnements Windows et macOS, tandis que la distribution Linux passe à la version 152.0.7977.82.
L’opération peut s’effectuer de manière autonome ou manuelle en accédant au menu de navigation, puis en consultant la rubrique d’assistance dédiée. Les experts en sécurité recommandent également aux administrateurs de systèmes et aux utilisateurs d’autres navigateurs basés sur le même code source ouvert, tels que Microsoft Edge, Brave, Opera ou Vivaldi, d’appliquer les correctifs dès leur parution par les éditeurs respectifs.