Chrome 156 corrige des failles de sécurité

Chrome 156 est disponible depuis plusieurs jours sur Windows, macOS et Linux. Cette version corrige 353 vulnérabilités de sécurité, dont six classées comme critiques. Plusieurs signalements sont attribués à des outils d'intelligence artificielle. Google déploie la mise à jour progressivement, sur plusieurs jours ou semaines, avec les versions 156.0.8078.47 (Linux) et 156.0.8078.47 ou .48 (Windows et Mac). L'entreprise n'a fait état d'aucune exploitation active de ces vulnérabilités.

Des failles critiques touchent des fonctions essentielles du navigateur

Six vulnérabilités critiques, dont deux signalées à l'aide d'outils d'IA, affectent Skia (la bibliothèque qui dessine les éléments graphiques), Accessibility (les fonctions d'assistance), CSS (la mise en forme des pages), Paint (l'affichage) et WebRTC (les appels audio et vidéo dans le navigateur). Cinq sont classées comme « corruption de mémoire », c'est-à-dire lorsqu'un programme lit ou modifie une zone de mémoire à laquelle il ne devrait pas accéder. La sixième, dans Accessibility, est une « utilisation après libération », ce qui signifie que le programme réutilise une zone de mémoire qu'il avait déjà libérée. Ce type d'erreur crée un risque de sécurité, mais Google ne décrit aucune chaîne d'attaque.

Les outils d'IA contribuent à la découverte de vulnérabilités

Concernant les découvertes, Google a lui-même signalé la vulnérabilité dans Skia. Xinyang Ge est crédité pour quatre des six vulnérabilités critiques, mais seule l'utilisation après libération dans Accessibility mentionne Anthropic et l'aide de Claude. La vulnérabilité WebRTC, signalée le 15 octobre, est attribuée à OpenAI Codex Security. Au total, cinq entrées citent l'aide de Claude et quatre sont attribuées à Codex Security.

Beaucoup de correctifs proviennent de signalements anciens

Avec Chrome 151, Google avait déjà déployé 370 correctifs. Les versions majeures de Chrome ne corrigent pas seulement les vulnérabilités découvertes juste avant leur sortie. Elles regroupent celles qui s'accumulent pendant des mois, voire plusieurs années. Pour Chrome 151, les signalements remontaient principalement à mars-juin 2026. Pour cette dernière version, on observe un schéma similaire. La plupart des signalements datent de 2026, mais certains sont beaucoup plus anciens, remontant jusqu'à 2018. Des vulnérabilités particulièrement sensibles touchent notamment ANGLE, le moteur JavaScript V8, GPU, Network et FileSystem.

Les primes de bug bounty mettent en lumière les contributions

Google verse 10 000 dollars pour une utilisation après libération dans SiteIsolation (le mécanisme qui isole chaque site dans un processus distinct), signalée par Quyen Son (VinFast). Cela souligne le rôle des chercheurs externes et les efforts constants de l'entreprise pour sécuriser son navigateur grâce à des incitations financières et à la collaboration avec la communauté de la sécurité informatique.