Chrome et Firefox ont tous deux publié d'importantes mises à jour de sécurité cette semaine, et l'une d'elles franchit le mur du bac à sable

Google a publié Chrome 156 le 27 octobre avec 52 correctifs de sécurité. Quatre sont classés critiques, et l'un mérite sa propre phrase : CVE-2026-118306, une corruption de mémoire dans le composant FileSystem de Chrome qu'une page web piégée pourrait utiliser, selon Google, pour exécuter du code en dehors du bac à sable. Le bac à sable, c'est le mur entre la page que vous consultez et tout le reste de la machine. Les failles qui le franchissent sont exactement la raison pour laquelle les navigateurs se corrigent à ce rythme.

Mozilla a sorti Firefox 159 la même semaine et le décompte y est encore plus élevé : 167 vulnérabilités, dont 108 classées élevées. La plupart sont des failles de type use-after-free, où le navigateur va chercher une zone mémoire qu'il a déjà rendue. Aucun des deux éditeurs n'a constaté d'attaque exploitant ces failles, et c'est la bonne nouvelle. La moins bonne, c'est que les détails sont désormais publics, et que cet écart a l'habitude de se combler vite.

Un détail présent dans les deux bulletins en dit long sur la suite. Google et Mozilla créditent chacun OpenAI Codex Security pour la découverte de bugs dans ces versions. La revue automatisée fait remonter de vraies failles en quantité, ce qui annonce sans doute davantage de correctifs plus souvent, plutôt que moins de bugs.

La mise à jour prend moins d'une minute, et l'étape que tout le monde saute est la dernière. Dans Chrome, ouvrez Aide puis À propos de Google Chrome ; le téléchargement se fait tout seul, mais la nouvelle version ne démarre qu'après un clic sur Relancer. Firefox fonctionne pareil, sous Aide, À propos de Firefox. Si vous avez trois navigateurs installés sans savoir lesquels sont à jour, la vérification des mises à jour d'applications de Tendvane utilise winget pour montrer ce qui est en retard et tout remettre à niveau d'un coup.