Le 6 octobre 2026, NVD a publié deux CVE corrigées dans Google Chrome 155.0.8059.39 : CVE-2026-106237 (contournement de l'isolation de site) et CVE-2026-106195 (Chromoting, sur Mac uniquement).
Ce qui rend ces deux CVE intéressantes, ce n'est pas leur mécanisme. C'est que les deux sources ne leur donnent pas du tout la même gravité : NVD les note 9.6 et 9.1, en critique, alors que l'équipe sécurité de Chromium les classe toutes deux « Low ». Je ne vais pas trancher à leur place, mais l'écart mérite d'être compris.
| CVE | Composant | CVSS 3.1 (NVD) | Vecteur | Sévérité Chromium | Publication NVD | CISA KEV |
|---|---|---|---|---|---|---|
| CVE-2026-106237 | Permissions | 9.6 (CRITICAL) | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L | Low | 2026-10-06 | non (à la date de rédaction) |
| CVE-2026-106195 | Chromoting (Mac) | 9.1 (CRITICAL) | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | Low | 2026-10-06 | non (à la date de rédaction) |
CVE-2026-106237 — fuite d'information dans Permissions
Information leak in Permissions in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to bypass site isolation via a crafted HTML page.
L'isolation de site (site isolation) place chaque site dans son propre processus de rendu. Elle empêche une page malveillante de lire les données d'un autre site ouvert dans le même navigateur. Une fuite d'information dans le composant Permissions permettrait de contourner cette séparation depuis une page HTML piégée. L'interaction utilisateur est requise (UI:R) : il faut visiter la page.
CVE-2026-106195 — autorisation incorrecte dans Chromoting, sur Mac
Incorrect authorization in Chromoting in Google Chrome on on Mac prior to 155.0.8059.39 allowed a remote attacker to bypass system access restrictions via crafted network traffic.
Chromoting est le nom interne, dans Chromium, de la technologie derrière Chrome Remote Desktop. Le défaut ne concerne que macOS. Un attaquant distant pourrait contourner des restrictions d'accès système via du trafic réseau forgé, sans interaction utilisateur. En pratique, l'exposition concerne d'abord les Mac sur lesquels l'accès à distance est configuré.
Pourquoi NVD et Chromium ne disent pas la même chose
Les deux échelles ne mesurent pas la même chose.
- Le CVSS de NVD évalue l'impact théorique maximal d'une faille, à partir de sa description, sans forcément connaître les conditions d'exploitation. « Contournement de l'isolation de site » ou « contournement de restrictions d'accès système » se traduisent mécaniquement en impacts élevés et en changement de portée.
- La sévérité Chromium est attribuée par les ingénieurs qui ont vu le bug et le correctif. Elle tient compte de la difficulté réelle d'exploitation, des préconditions, des autres protections qui restent en place. Un « Low » signifie en général que la faille a peu de chances d'être exploitable seule, ou qu'elle exige des conditions rares.
Les deux lectures sont possibles :
- Chromium a raison et le CVSS NVD surestime le risque faute de détails : c'est un cas fréquent sur les navigateurs, dont les rapports de bugs restent fermés plusieurs semaines après le correctif.
- Le CVSS NVD reflète un pire cas que Chromium juge improbable mais pas impossible, par exemple en chaîne avec une autre faille.
Je n'ai pas accès au rapport de bug, et la description NVD ne suffit pas pour départager. Ce qui compte en pratique : le correctif existe, il est livré par la mise à jour normale du navigateur, et le coût de l'appliquer est faible. L'écart de notation ne change pas la décision. Il change seulement la priorité que ton outillage va afficher : un scanner qui se fie au CVSS NVD remontera ces deux CVE en critique.
Versions
Les deux CVE touchent Google Chrome antérieur à 155.0.8059.39 ; c'est la version corrigée indiquée par NVD. CVE-2026-106195 ne concerne que Chrome sur Mac.
Les navigateurs basés sur Chromium (Edge, Brave, Opera, Vivaldi…) intègrent généralement ces correctifs avec leur propre calendrier. Vérifie l'avis de chaque éditeur : NVD ne les liste pas ici.
Détection
- Version déployée :
chrome://versionsur un poste, ou mieux, l'inventaire de ta console de gestion (Chrome Browser Cloud Management, Intune, Jamf, GPO) pour repérer les postes en dessous de 155.0.8059.39. - Postes qui ne redémarrent jamais le navigateur : Chrome télécharge la mise à jour mais ne l'applique qu'au relancement.
- Chrome Remote Desktop sur Mac : liste les Mac sur lesquels l'hôte d'accès à distance est installé, et vérifie qu'il est légitime.
Mitigation
- Mettre à jour Chrome en 155.0.8059.39 ou ultérieure sur tous les postes, et forcer le relancement via la politique
RelaunchNotificationsi tu gères le parc. - Désinstaller l'hôte Chrome Remote Desktop sur les Mac qui n'en ont pas besoin, et restreindre son usage par politique sur les autres.
- Suivre les navigateurs dérivés de Chromium séparément : leur correctif n'arrive pas forcément le même jour.
- Ne pas ignorer un « Low » sous prétexte que Chromium le juge mineur, ni paniquer sur un 9.6 sous prétexte que NVD le juge critique : dans les deux cas, la mise à jour est la réponse.
Pourquoi surveiller en continu tes navigateurs
Le navigateur est le logiciel le plus exposé du parc, et ses CVE arrivent toutes les semaines avec des notations qui divergent souvent selon la source. Savoir quelle version tourne réellement sur chaque poste est ce qui permet de trier sans se fier à une seule échelle.
Avec cveo.tech, déclare tes navigateurs et leur version, et reçois une alerte dès qu'une CVE critique les concerne.