Quatre vulnérabilités Chromium méritent attention en ce début septembre 2026. Elles forment un cas d'école sur un point que beaucoup d'équipes gèrent mal : le score CVSS n'est pas un indicateur de priorité fiable, et ce lot le démontre de la manière la plus nette possible.
| CVE | Composant | Score NVD | Sévérité Chromium | Au CISA KEV |
|---|---|---|---|---|
| CVE-2026-87491 | V8 — écriture hors limites | non publié | — | ✅ Oui (09-09) |
| CVE-2026-85046 | V8 — confusion de type | non publié | — | ✅ Oui (09-04) |
| CVE-2026-87534 | WebView (Android) | 9.8 | Medium | ❌ Non |
| CVE-2026-87544 | Extensions | 9.8 | Low | ❌ Non |
Lis ce tableau une seconde fois. Les deux CVE réellement exploitées n'ont aucun score. Les deux qui affichent 9.8 sont notées Medium et Low par Google.
Une équipe qui priorise en triant son backlog par score CVSS décroissant traiterait donc en premier les deux failles les moins urgentes, et laisserait de côté les deux qui sont activement utilisées contre des utilisateurs.
Version corrigée pour les deux CVE scorées : 153.0.8010.36.
Pourquoi cet écart de notation
Ce n'est pas une erreur, c'est une différence de modèle.
Google note l'impact dans son modèle de sécurité. Chromium repose sur un bac à sable : le processus de rendu est considéré comme hostile par conception. Une faille qui ne permet pas d'en sortir est, de leur point de vue, sévère mais contenue — d'où « Medium » ou « Low ».
NVD note selon la grille CVSS générique, qui ne connaît pas le bac à sable de Chromium. Un contournement de restriction d'accès depuis le réseau, sans authentification, coche mécaniquement AV:N/AC:L/PR:N/UI:N avec impact élevé partout — soit 9.8.
Les deux notes sont défendables dans leur référentiel. Le problème apparaît quand on les mélange, ou qu'on se fie à une seule.
La leçon opérationnelle : pour les navigateurs, le bon signal de priorité n'est ni le score NVD ni la sévérité éditeur, c'est la présence au catalogue CISA KEV — c'est-à-dire l'exploitation constatée.
Les deux CVE exploitées — V8
NVD n'a publié ni score, ni vecteur, ni détail pour ces deux-là. Je m'appuie donc uniquement sur les descriptions CISA.
CVE-2026-87491 — écriture hors limites
Google Chromium V8 contains an out of bounds write vulnerability that allows a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.
Ajout KEV : 2026-09-09. Échéance : 2026-09-23.
CVE-2026-85046 — confusion de type
Google Chromium V8 contains a type confusion vulnerability that allows a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page.
Ajout KEV : 2026-09-04. Échéance : 2026-09-18.
Ce que « inside the sandbox » signifie vraiment
La formulation rassure à tort. Elle veut dire que l'attaquant exécute du code dans le processus de rendu, qui est isolé — il n'a pas encore la main sur la machine.
Mais ce processus contient tout ce qui concerne les pages ouvertes :
- le contenu affiché, y compris les données saisies dans les formulaires
- les cookies et jetons de session accessibles à cette origine
- le stockage local des sites visités
Et surtout, c'est la première moitié standard d'une chaîne d'exploitation navigateur : primitive mémoire dans le rendu, puis évasion de bac à sable. C'est le même schéma que celui décrit dans notre analyse des quatre use-after-free Firefox — les moteurs changent, le modèle d'attaque non.
V8, le moteur JavaScript, est la cible privilégiée de ce type de recherche : il compile du code fourni par l'attaquant, à la volée, avec des optimisations agressives. La confusion de type y est la classe de bug la plus productive.
Les deux CVE scorées 9.8
CVE-2026-87534 — WebView sur Android
Missing authorization in WebView in Google Chrome on Android prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via crafted network traffic.
Le leveraging social engineering est la raison pour laquelle Google la classe Medium : il faut que la victime fasse quelque chose. Le vecteur NVD, lui, indique UI:N. Les deux ne peuvent pas être vrais simultanément ; en pratique, fie-toi à la description textuelle, qui est plus précise que le vecteur.
WebView mérite néanmoins attention pour une raison structurelle : ce n'est pas seulement le navigateur. C'est le composant qui affiche du contenu web à l'intérieur des applications Android — écrans de connexion, conditions générales, contenus intégrés. Une faille WebView a donc une surface bien plus large que Chrome lui-même.
CVE-2026-87544 — Extensions
Incorrect authorization in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions into a privileged page via a crafted HTML page.
« Privileged page » désigne les pages internes du navigateur (chrome://), qui disposent de permissions que le contenu web n'a pas. Atteindre ce contexte depuis une page web ordinaire constitue une rupture de la frontière de sécurité du navigateur.
Google la classe Low, probablement en raison de conditions d'exploitation restrictives non détaillées dans l'avis.
Versions et périmètre
| Produit | Version corrigée |
|---|---|
| Google Chrome | 153.0.8010.36 |
⚠️ Pour les deux CVE au KEV, NVD ne publie pas de version corrigée. Elles sont corrigées dans les versions de Chrome publiées début septembre 2026 — vérifie l'avis Chrome Releases correspondant plutôt que de te fier à un numéro que je n'ai pas.
Le périmètre dépasse Chrome. La CISA le précise explicitement :
This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.
Il faut donc inclure dans le recensement : Edge, Opera, Brave, Vivaldi, Arc, les navigateurs embarqués dans les applications de bureau basées sur Electron, et WebView sur Android.
C'est le point que les campagnes de mise à jour manquent le plus souvent : mettre Chrome à jour ne corrige ni Edge, ni les applications Electron qui embarquent leur propre Chromium.
Vérifier la version :
chrome://version
edge://version
# Windows — inventaire du parc
Get-Item "C:\Program Files\Google\Chrome\Application\chrome.exe" |
Select-Object @{N='Version';E={$_.VersionInfo.ProductVersion}}
Get-Item "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" |
Select-Object @{N='Version';E={$_.VersionInfo.ProductVersion}}
Détection
Comme pour toute corruption mémoire dans un navigateur, il n'y a pas de signature exploitable côté client. Les signaux utiles sont post-exploitation :
- Trafic sortant depuis le processus navigateur vers des destinations sans rapport avec la navigation
- Sessions valides réutilisées depuis une IP ou un agent inhabituel — visible côté serveur applicatif, pas côté poste
- Extensions apparues sans action de l'utilisateur :
chrome://extensions - Processus enfants du navigateur qui ne sont pas des processus Chromium
Le contrôle qui compte réellement reste l'inventaire des versions.
Mitigation
1. Mettre à jour — et forcer le redémarrage
Chrome se met à jour en arrière-plan, mais le correctif ne prend effet qu'au redémarrage du navigateur. C'est le point de fuite classique en entreprise : des postes restent des semaines sur une version vulnérable parce que personne ne ferme jamais son navigateur.
Sur un parc géré, ne compte pas sur la bonne volonté :
# GPO Chrome
Configuration ordinateur → Modèles d'administration → Google Chrome
→ « Notifier un utilisateur qu'un redémarrage du navigateur est recommandé ou requis »
→ RelaunchNotificationPeriod
2. Ne pas oublier les autres Chromium
Edge, Opera, Brave, et surtout les applications Electron de ton parc. Ces dernières embarquent une version figée de Chromium mise à jour au rythme de l'éditeur de l'application — souvent avec plusieurs mois de retard.
3. Sur Android, vérifier WebView séparément
Paramètres → Applications → Android System WebView
WebView se met à jour via le Play Store, indépendamment de Chrome et du correctif système.
4. Prioriser sur le KEV, pas sur le score
C'est la conclusion opérationnelle de cet article. Pour les navigateurs, construis ta file d'attente sur la présence au catalogue CISA KEV. Le score CVSS te ferait ici traiter en premier les deux failles qui ne sont pas exploitées.
Pourquoi surveiller en continu vos navigateurs
Chrome publie plusieurs correctifs de sécurité par mois, dont une partie correspond à des failles déjà exploitées. Le problème n'est pas d'être informé — Google communique bien — mais de savoir quelles versions tournent réellement sur ton parc, en incluant Edge, les navigateurs secondaires et les applications Electron que personne ne recense.
Avec cveo.tech, inventorie tes navigateurs et composants Chromium avec leur version exacte, et reçois une alerte automatique dès qu'une CVE critique — en particulier une CVE au CISA KEV — cible l'une d'elles.