Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 10 novembre 2026 un avis sur plusieurs vulnérabilités de Google Chrome. L’une d’elles, référencée CVE-2026-125350, fait déjà l’objet d’une exploitation active, selon Google. Les responsables informatiques doivent vérifier les versions effectivement installées avant de considérer leurs navigateurs comme corrigés.
Une vulnérabilité liée au traitement du XML
Le CERT Santé décrit CVE-2026-125350 comme une erreur de gestion de mémoire, dite « utilisation après libération » (use-after-free), dans le composant XML de Chrome. La faille a été signalée le 6 novembre. Google lui attribue un niveau de sévérité élevé et reconnaît l’existence d’une exploitation dans la nature.
Le CERT Santé évoque un risque d’exécution de code à distance dans le navigateur et attribue à cette vulnérabilité un score de gravité CVSS 3.1 de 8,8 sur 10. Il précise qu’une interaction de l’utilisateur est nécessaire et qu’aucune preuve de concept publique n’est recensée dans son bulletin. L’avis national du CERT-FR demeure prudent sur les conséquences techniques : il indique un problème de sécurité sans détailler le risque pour chacune des vulnérabilités recensées.
Des numéros de version différents selon les systèmes
Pour les éditions classiques de Chrome, le bulletin du CERT-FR vise les versions antérieures à 157.0.8103.50 sur Windows et Linux, ainsi que celles antérieures à 157.0.8103.51 sur macOS. Pour Chrome Extended Stable sur Windows et Mac, le seuil est 156.0.8078.96. Le CERT Santé mentionne également un correctif pour Chrome sur Android à partir de la version 157.0.8103.50.
Ces différences obligent les administrateurs à comparer séparément la version installée sur chaque famille de postes avec le seuil de correction applicable. Le numéro affiché sur un ordinateur Mac ne peut pas être interprété à partir du seul seuil Windows. Les équipes chargées des mises à jour peuvent s’appuyer sur le bulletin de version publié par Google le 9 novembre pour vérifier le déploiement du correctif.
Priorité au parc réellement exposé
Pour les administrations, prestataires et entreprises disposant de nombreux postes, le principal enjeu est opérationnel : recenser les navigateurs installés, déployer la version corrigée correspondant au canal utilisé, puis contrôler l’installation effective. Les environnements utilisant le canal Extended Stable doivent faire l’objet d’un suivi distinct.
Le constat d’une exploitation active rend la mise à jour prioritaire, mais il ne constitue pas, à lui seul, la preuve qu’un réseau administratif ou industriel français a été compromis. Les deux bulletins officiels documentent la vulnérabilité, ses versions affectées et les correctifs ; ils ne fournissent aucun bilan d’incidents imputables à cette faille dans une organisation nommée.
