Google Chrome : la 6ème faille zero-day de 2026 est là, patchez sans attendre
Une nouvelle vulnérabilité zero-day activement exploitée touche Google Chrome. Identifiée sous le nom CVE-2026-85046, elle affecte le moteur V8 et a déjà fait l’objet d’une exploitation dans la nature. Google recommande de mettre à jour Chrome sans attendre.
Le navigateur web est devenu un outil essentiel dans les environnements professionnels. Messagerie, applications métiers, plateformes cloud, outils collaboratifs, services bancaires ou encore accès aux systèmes d’information : une grande partie des activités quotidiennes passe désormais par le navigateur.
Cette dépendance fait également de Chrome une cible privilégiée pour les cyberattaquants. Début septembre 2026, Google a publié une nouvelle mise à jour de sécurité corrigeant 12 vulnérabilités, dont une faille de type zero-day déjà exploitée activement.
Une sixième zero-day Chrome déjà exploitée en 2026
La vulnérabilité, référencée CVE-2026-85046, a été classée comme une faille de haute sévérité. Elle concerne V8, le moteur JavaScript et WebAssembly intégré à Chrome.
Google décrit cette vulnérabilité comme une « Type Confusion », c’est-à-dire une erreur dans la manière dont le moteur traite ou interprète certains types de données. Ce type de faiblesse peut, dans certaines conditions, permettre à un attaquant de provoquer des comportements inattendus dans le navigateur et potentiellement d’exécuter du code malveillant.
Le point le plus préoccupant n’est cependant pas uniquement la nature technique de la faille.
Google indique explicitement qu’un exploit visant CVE-2026-85046 existe déjà dans la nature.
Autrement dit, cette vulnérabilité n’est plus seulement théorique : des attaques exploitant cette faiblesse ont été observées.
Pourquoi parle-t-on de « zero-day » ?
Une vulnérabilité zero-day désigne une faille pour laquelle les défenseurs disposent de très peu de temps pour réagir avant, ou pendant, le début de son exploitation.
Dans le cas présent, le problème est particulièrement sensible parce que les utilisateurs peuvent être exposés simplement en utilisant leur navigateur.
Un scénario d’attaque peut notamment commencer par :
Site compromis → page malveillante → exploitation du navigateur → compromission potentielle du poste
Un utilisateur peut ainsi être exposé sans avoir volontairement téléchargé un programme suspect.
Il suffit potentiellement de visiter une page spécialement conçue pour exploiter une vulnérabilité du navigateur.
Que risque une entreprise ?
Le risque ne se limite pas au navigateur lui-même.
Un poste professionnel compromis peut devenir une première étape vers une attaque plus large contre le système d’information.
Selon les protections en place et le niveau d’accès du compte compromis, un attaquant pourrait chercher à :
- récupérer des informations sensibles ;
- voler des sessions ou des identifiants ;
- accéder à des applications internes ;
- récupérer des données stockées dans le navigateur ;
- compromettre d’autres comptes ;
- installer des logiciels malveillants ;
- se déplacer latéralement dans le réseau ;
- préparer une attaque par ransomware ;
- exfiltrer des données.
Le véritable enjeu est donc de considérer le navigateur comme un composant de sécurité à part entière du poste de travail.
Quelle version de Chrome installer ?
Google a publié le 3 septembre 2026 la version stable :
- Chrome 152.0.7977.82/.83 pour Windows et macOS
- Chrome 152.0.7977.82 pour Linux
Cette mise à jour corrige 12 vulnérabilités de sécurité, dont CVE-2026-85046.
La version correspondante de Chrome pour Android, 152.0.7977.82, reprend également les mêmes correctifs de sécurité que les versions desktop correspondantes.
Google précise toutefois que le déploiement de la version desktop s’effectue progressivement. Il est donc important de vérifier manuellement la version installée sur les postes sensibles plutôt que de supposer que tous les équipements ont déjà reçu la mise à jour.
WordPress : Plugins Compromis
Une vulnérabilité de sécurité a récemment été identifiée dans plusieurs plugins WordPress populaires, dont OptinMonster, TrustPulse et PushEngage. Cette faille pourrait permettre à des attaquants d'exploiter certaines fonctionnalités des extensions concernées pour compromettre la sécurité des sites web.
RoguePlanet : Faille critique Windows
Une nouvelle vulnérabilité Zero-Day baptisée RoguePlanet cible les systèmes Windows en exploitant des mécanismes liés à Windows Defender. Cette faille pourrait permettre à des attaquants de contourner certaines protections de sécurité et d'obtenir un accès non autorisé aux systèmes affectés.
Une vulnérabilité Zero-Day : Chez Google
Une vulnérabilité Zero-Day critique, référencée CVE-2026-11645, affecte le navigateur Google Chrome. Exploitée activement avant la publication du correctif, cette faille dans le moteur V8 pourrait permettre l'exécution de code malveillant à distance simplement via la visite d'une page web piégée.
Brèche dans les WebViews sandboxées
Une vulnérabilité Zero-Day affectant Visual Studio Code a été découverte dans le mécanisme de communication des WebViews sandboxées. Cette faille permettrait à un attaquant de contourner certaines protections de l'environnement et de dérober des jetons d'authentification GitHub, exposant potentiellement des dépôts privés et des données sensibles. Les développeurs utilisant github.dev sont invités à suivre les recommandations de sécurité publiées par Microsoft.
Brèche critique dans Netlogon
La vulnérabilité CVE-2026-41089 affecte le service Netlogon de Windows Server et présente un risque majeur pour les infrastructures utilisant Active Directory. Cette faille permet à un attaquant distant non authentifié d'exécuter du code à distance et de compromettre potentiellement un contrôleur de domaine.
CIFSwitch : l'accès root sans privilège
La vulnérabilité CIFSwitch (CVE-2026-46243) met en lumière une faiblesse présente dans certains systèmes Linux depuis près de 19 ans. Cette faille d'escalade de privilèges permet à un utilisateur local non privilégié d'obtenir un accès root, ouvrant la voie à une prise de contrôle complète du système.
Brèche critique dans Drupal Core
La vulnérabilité **CVE-2026-9082** affecte Drupal Core et expose les sites concernés à un risque d'injection SQL critique. Exploitable à distance par un attaquant non authentifié, cette faille pourrait permettre l'accès à des données sensibles, la modification du contenu du site ou la compromission complète de l'application. Les administrateurs sont vivement encouragés à appliquer les correctifs de sécurité publiés par Drupal.
Accès root via DirtyDecrypt
La vulnérabilité **DirtyDecrypt (CVE-2026-31635)** affecte le noyau Linux et permet à un utilisateur local non privilégié d'obtenir des privilèges **root**. En exploitant une faiblesse du sous-système de déchiffrement du noyau, un attaquant peut contourner certaines protections de sécurité et prendre le contrôle complet du système. Cette faille souligne l'importance de maintenir les systèmes Linux à jour et d'appliquer rapidement les correctifs de sécurité disponibles.
RedSun compromet les systèmes Windows
Découverte en avril 2026, la vulnérabilité RedSun affecte Microsoft Defender et permet à un attaquant disposant de faibles privilèges d'obtenir un accès SYSTEM sur des systèmes Windows. Activement exploitée, cette faille représente une menace importante pour les organisations utilisant Defender comme solution de protection principale.
Faille critique dans Cisco SD-WAN Manager
La vulnérabilité CVE-2026-20245 affecte Cisco Catalyst SD-WAN Manager, une solution largement utilisée pour l'administration des réseaux étendus d'entreprise. Cette faille permet à un attaquant disposant de privilèges administratifs d'exécuter des commandes en tant que root, compromettant ainsi l'intégrité et le contrôle de l'infrastructure réseau.