La sixième faille zero-day de Chrome cette année est déjà exploitée

Google a publié une mise à jour de Chrome le 4 septembre avec la seule phrase d'une note de version qui veut toujours dire la même chose : "Google is aware that an exploit for CVE-2026-85046 exists in the wild." Les versions corrigées sont 152.0.7977.82/.83 sur Windows et macOS, 152.0.7977.82 sur Linux. Tout ce qui est plus ancien est un navigateur que quelqu'un sait déjà ouvrir.

La faille se trouve dans V8, la partie de Chrome qui exécute le JavaScript de chaque page que vous ouvrez. C'est un bug de confusion de types noté 8.8 : le compilateur attribue à un tableau le mauvais type interne, et à partir de là un attaquant obtient un accès en lecture et en écriture à la mémoire de Chrome et peut exécuter du code dans le bac à sable du navigateur. En pratique, une page piégée constitue toute l'attaque. Rien à télécharger, pas de faux programme d'installation, aucun mot de passe à saisir.

Deux détails ressortent. Salvatore Gulizia l'a signalée le 4 août et a reçu une prime de 1 000 dollars, un prix étonnamment modeste pour un bug qui transforme n'importe quelle page web en exécution de code. Et c'est la sixième faille zero-day de Chrome activement exploitée en 2026, après CVE-2026-2441, CVE-2026-3909 et 3910, CVE-2026-5281 et CVE-2026-11645. Six en huit mois, c'est désormais la norme plutôt qu'une mauvaise année.

Chrome récupère le correctif tout seul, mais ne l'applique qu'au redémarrage du navigateur, et beaucoup de gens ne redémarrent jamais. Menu à trois points, Aide, À propos de Google Chrome, puis lisez le numéro et laissez-le se relancer. Edge, Brave, Opera et Vivaldi reposent sur le même moteur et auront besoin de leurs propres mises à jour dans les jours qui suivent. La vérification des mises à jour d'applications de Tendvane passe par winget et liste les programmes installés restés sur d'anciennes versions, navigateurs compris, ce qui vaut mieux que d'ouvrir chacun d'eux pour regarder.