Google a publié le 4 septembre 2026 une mise à jour d’urgence du canal stable de Chrome pour corriger CVE-2026-85046, une confusion de type dans le moteur JavaScript V8 pour laquelle un exploit circule déjà. C’est la sixième faille zero-day de Chrome corrigée depuis le début de l’année. Pour les métiers du web, l’alerte ne s’arrête pas au navigateur des utilisateurs : le même moteur se retrouve dans une grande partie de l’outillage de développement.
Ce que corrige la mise à jour
La vulnérabilité est une type confusion située dans V8, le moteur JavaScript et WebAssembly partagé par Chrome et l’ensemble des navigateurs Chromium. Elle est notée 8,8 sur l’échelle CVSS. Concrètement, une page HTML piégée peut amener le compilateur à traiter un tableau comme s’il contenait un autre type de valeurs, ce qui ouvre une primitive de lecture et d’écriture arbitraires sur le tas JavaScript, puis l’exécution de code au sein du bac à sable du navigateur.
Google confirme l’exploitation active dans les termes désormais habituels de ses bulletins : l’éditeur « a connaissance de l’existence d’un exploit pour CVE-2026-85046 dans la nature ». La faille a été signalée le 4 août 2026 par le chercheur Salvatore Gulizia, récompensé par une prime de 1 000 dollars.
Les versions à installer
Le correctif est distribué avec le canal stable de bureau. Les numéros à viser au minimum diffèrent légèrement selon la plateforme.
| Plateforme | Version corrigée | Canal |
|---|---|---|
| Windows | 152.0.7977.82 / .83 | Stable (bureau) |
| macOS | 152.0.7977.82 / .83 | Stable (bureau) |
| Linux | 152.0.7977.82 | Stable (bureau) |
Le déploiement de Google s’étale sur plusieurs jours. Sur un parc, il est prudent de ne pas attendre la mise à jour automatique et de forcer un contrôle de version.
Une confusion de type dans V8 se transforme en lecture-écriture arbitraire sur le tas, puis en exécution de code dans le bac à sable.
Pourquoi cela dépasse le navigateur des utilisateurs
V8 et le socle Chromium ne vivent pas que dans Chrome. Les applications de bureau bâties sur Electron, les composants qui affichent du contenu web via une webview embarquée, et les navigateurs Chromium tiers — Microsoft Edge, Brave, Opera, Vivaldi — partagent la même surface d’attaque. Une application Electron n’est pas corrigée parce que le poste a mis Chrome à jour : elle embarque sa propre version de Chromium et doit être reconstruite puis rediffusée.
Côté chaîne de production, l’exposition est réelle aussi. Les runners d’intégration continue qui pilotent un Chromium headless pour les tests de bout en bout, la capture d’écran ou la génération de PDF exécutent du code non maîtrisé dès qu’ils rendent une page externe. Mettre à jour l’image de base et les binaires de Puppeteer ou Playwright fait partie du même chantier que la mise à jour du poste de travail. Un socle de durcissement côté serveur ne protège pas de ce vecteur : c’est le moteur de rendu lui-même qui est en cause.
Point de vigilance. Vérifier la version de Chrome sur les postes ne suffit pas. Il faut inventorier chaque application Electron installée, chaque service qui lance un Chromium headless en CI, et chaque navigateur Chromium tiers, puis appliquer la mise à jour éditeur correspondante. Une brique oubliée reste vulnérable même si le navigateur principal est à jour.
Vérifier et forcer la mise à jour
Sur un poste, la page chrome://settings/help déclenche le contrôle et le téléchargement. En ligne de commande, le numéro de version se lit directement, ce qui permet d’automatiser l’audit d’un parc ou d’un environnement de tooling en ligne de commande.
# Linux : version installée du binaire
google-chrome --version
# -> Google Chrome 152.0.7977.82
# macOS : idem via le bundle
"/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" --version
# CI : version du Chromium piloté par Playwright
npx playwright --version
npx playwright install chromium # récupère le build corrigéEn environnement managé, la mise à jour se force par stratégie : la clé TargetVersionPrefix des policies Chrome (ou l’équivalent MDM) impose une version plancher et coupe la fenêtre d’exposition, plutôt que de laisser chaque poste se mettre à jour à son rythme.
Ce qu’il faut retenir
CVE-2026-85046 est une faille V8 activement exploitée, corrigée par Chrome 152.0.7977.82 et supérieur. La mise à jour du navigateur est prioritaire, mais l’inventaire ne s’arrête pas là : Electron, webviews, navigateurs Chromium tiers et Chromium headless en CI reposent tous sur le moteur touché et se corrigent séparément. Forcer la version plancher sur un parc reste le moyen le plus fiable de refermer la brèche.
Sur mes propres chaînes de CI, le réflexe qui paie est de repérer tout ce qui embarque un Chromium avant même de lire le détail d’une CVE : images Docker de test, binaires Playwright, applications Electron internes. Je fixe une version plancher par policy plutôt que de faire confiance à la mise à jour automatique, parce qu’un runner qui rend une page externe est une cible aussi valable qu’un poste de travail — et souvent le dernier auquel on pense. — Simon Janvier
Pour aller plus loin : le bulletin officiel du canal stable de Chrome (Chrome Releases) détaille la version corrigée et la liste des correctifs de sécurité.
