Google a livré Chrome 152 avec une charge de 327 correctifs de sécurité, dont 10 vulnérabilités classées critiques, un volume de patchs sans précédent récent pour le navigateur le plus utilisé au monde, disponible simultanément sur Windows, macOS et Linux dans ses versions 152.0.7977.64 et 152.0.7977.65.
Les dix failles critiques relèvent pour l’essentiel de problèmes de mémoire, et plus précisément de use-after-free, une catégorie de défauts où le navigateur tente d’accéder à une zone mémoire déjà libérée, ouvrant la porte à des crashs, des lectures de données sensibles ou, pire encore, à l’exécution de code arbitraire dans le contexte du processus Chrome. Les composants touchés couvrent un spectre large, d’ANGLE (le moteur graphique qui traduit les appels WebGL) à Aura, en passant par Chromecast, Views, Safe Browsing et le module Mobile. La faille CVE-2026-79282, localisée dans ANGLE, a valu à son découvreur, un chercheur opérant sous le pseudonyme « Goodluck », une récompense de 25 000 dollars dans le cadre du programme de bug bounty.
Sur les 327 failles corrigées, 299 ont été identifiées en interne par Google, une proportion écrasante qui témoigne de l’accélération des découvertes automatisées par intelligence artificielle au sein de l’entreprise. L’IA appliquée à la chasse aux vulnérabilités a produit cette année une moisson record, portant le total des failles Chrome colmatées depuis janvier à plus de 2 000. Les 28 restantes proviennent de chercheurs externes, dont plusieurs ont reçu des primes.
Au-delà des dix critiques, 61 vulnérabilités de haute sévérité affectent des composants aussi variés que V8 (le moteur JavaScript), WebRTC, WebGL, le système d’extensions, Autofill, le GPU, le Bluetooth, le sandbox et le gestionnaire de mots de passe. Les types de défauts répertoriés vont du buffer overflow aux écritures et lectures hors limites, en passant par des confusions de types, des conditions de concurrence et des fuites d’informations. Une page web conçue avec malveillance pourrait, via des données graphiques ou WebGL, atteindre directement le code vulnérable du navigateur… sans que l’utilisateur ne s’en aperçoive.
Google n’a pas confirmé d’exploitation active de ces failles dans la nature, et restreint temporairement l’accès aux détails techniques des bugs tant qu’une proportion suffisante d’utilisateurs n’aura pas effectué la mise à jour. Le déploiement, échelonné sur plusieurs jours, s’effectue par le chemin habituel, c’est-à-dire le menu Aide > À propos de Google Chrome, suivi d’un redémarrage du navigateur.
Avec 327 patchs en une seule livraison, Chrome 152 confirme que la surface d’attaque d’un navigateur moderne s’apparente désormais à celle d’un système d’exploitation entier, et que l’IA, après avoir longtemps servi les attaquants, fabrique aujourd’hui les anticorps à la même cadence.
