Le 27 octobre 2026, NVD a publié deux CVE corrigées dans Google Chrome 156.0.8078.73 : CVE-2026-118337 dans le composant Forms et CVE-2026-118333 dans le composant Video. Les deux ont la même conséquence : une page HTML piégée peut contourner la politique d'origine du navigateur (web origin policy), la règle qui empêche un site de lire les données d'un autre.
Comme pour Chrome 155 au début du mois, les sources ne s'accordent pas sur la gravité. Mais cette fois, l'écart est moins caricatural : l'équipe Chromium les classe « High », pas « Low ».
| CVE | Composant | Faille | CVSS 3.1 (NVD) | CVSS 3.1 (Google) | Sévérité Chromium | Statut NVD |
|---|---|---|---|---|---|---|
| CVE-2026-118337 | Forms | Contrôle d'accès incorrect (CWE-284) | 9.3 | 5.4 | High | Modified |
| CVE-2026-118333 | Video | Autorisation manquante (CWE-862) | 9.3 | 5.4 | High | Modified |
Aucune des deux n'est au catalogue CISA KEV à la date de rédaction, et aucune exploitation n'est mentionnée dans les données NVD.
Ce que disent les descriptions
Les deux textes NVD sont presque identiques, au composant près :
- CVE-2026-118337 : un contrôle d'accès incorrect dans Forms permettait à un attaquant distant de contourner la politique d'origine via une page HTML forgée ;
- CVE-2026-118333 : une autorisation manquante dans Video permettait la même chose.
C'est tout ce que l'on sait publiquement : les rapports de bugs Chromium restent fermés plusieurs semaines après la publication du correctif, le temps que la majorité des navigateurs soient mis à jour.
La politique d'origine est l'une des barrières fondamentales du Web. Si elle cède, une page ouverte dans un onglet peut potentiellement lire ou manipuler des données d'un autre site sur lequel l'utilisateur est connecté (messagerie, intranet, console d'administration). Dans les deux cas, l'utilisateur doit visiter la page piégée : c'est le UI:R du vecteur.
9.3 contre 5.4 : deux lectures du même bug
Les deux scores publiés dans NVD ne divergent que sur deux métriques :
- NVD :
AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N(9.3) ; - Google :
AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N(5.4).
NVD considère qu'un contournement de la politique d'origine change le périmètre (S:C, on sort du site attaquant pour toucher un autre site) avec des impacts élevés en confidentialité et en intégrité. Google, qui a vu le bug et son correctif, retient un impact limité dans le périmètre initial.
Le libellé « High » de Chromium se situe entre les deux, et c'est probablement le repère le plus utile : il est attribué par l'équipe qui connaît les conditions réelles d'exploitation. C'est une interprétation de ma part, pas une indication de NVD. En pratique, la réponse est la même quelle que soit l'échelle retenue : mettre à jour.
Versions affectées
NVD rattache les deux CVE à Google Chrome antérieur à 156.0.8078.73 (borne exclue dans la configuration CPE). 156.0.8078.73 est donc la première version corrigée ; toute version ultérieure l'est aussi.
Les navigateurs basés sur Chromium (Edge, Brave, Opera, Vivaldi…) intègrent ces correctifs avec leur propre calendrier. NVD ne les liste pas : vérifie l'avis de chaque éditeur.
Détection
- Version déployée :
chrome://versionsur un poste, ou l'inventaire de ta console de gestion (Chrome Browser Cloud Management, Intune, Jamf, GPO) pour repérer les postes en dessous de 156.0.8078.73. - Navigateurs jamais relancés : Chrome télécharge la mise à jour en arrière-plan mais ne l'applique qu'au redémarrage. Un poste peut afficher « à jour » côté téléchargement et tourner encore sur l'ancienne version.
- Navigateurs dérivés : inventorier Edge et les autres navigateurs Chromium séparément.
Mitigation
- Déployer Chrome 156.0.8078.73 ou ultérieure sur tous les postes.
- Forcer le relancement via la politique
RelaunchNotification(etRelaunchNotificationPeriod) si tu gères le parc. - Suivre Edge et les autres navigateurs Chromium : leur correctif n'arrive pas forcément le même jour.
- Ne pas trier sur le seul CVSS : un scanner qui se fie à NVD remontera ces CVE en critique, un autre qui lit le score de Google en moyenne. La version installée est ce qui tranche.
Pourquoi surveiller en continu tes navigateurs
Le navigateur est le logiciel le plus exposé d'un parc, et ses CVE arrivent toutes les semaines avec des notes qui divergent selon la source. Savoir quelle version tourne réellement sur chaque poste est ce qui permet de prioriser sans dépendre d'une seule échelle.
Avec cveo.tech, déclare tes navigateurs avec leur version et reçois une alerte dès qu'une CVE critique les concerne.