CVE-2026-125350 : Vulnérabilité Zero-Day XML dans Chrome Exploitée à l’État Sauvage

Google a publié une mise à jour de sécurité d’urgence pour traiter le CVE-2026-125350, une vulnérabilité zero-day de haute gravité dans le composant XML de Google Chrome qui est déjà exploitée dans des attaques réelles. Le problème est classé comme un défaut de sécurité mémoire par utilisation après libération et a été signalé anonymement à Google le 6 novembre 2026.

Google a confirmé le 9 novembre qu’un exploit pour la vulnérabilité existe dans la nature. Cependant, l’entreprise n’a pas divulgué comment les attaquants livrent l’exploit, quelles organisations ou individus sont ciblés, ou si la vulnérabilité est combinée avec des défauts supplémentaires d’évasion de navigateur ou de sandbox. L’accès au bug sous-jacent Chromium reste restreint pendant que les utilisateurs déploient la mise à jour de sécurité.

La correction est incluse dans Chrome Stable 157.0.8103.50/.51 pour Windows et macOS et 157.0.8103.50 pour Linux. Google a aussi publié Extended Stable 156.0.8078.96 pour Windows et macOS avec une correction pour la même vulnérabilité.

Contactez le service commercial

CVE-2026-125350 est le huitième zero-day de Chrome connu pour avoir été exploité dans la nature en 2026, après CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046, et CVE-2026-87491. Au 10 novembre, SecurityWeek rapporte que CISA n’a pas encore ajouté la faille récemment divulguée à son catalogue des Vulnérabilités Exploitées Connues.

Les vulnérabilités par utilisation après libération se produisent lorsque le logiciel continue de référencer la mémoire après que cette mémoire ait été libérée. Selon le code affecté et la technique d’exploitation, une telle corruption de mémoire peut potentiellement entraîner des plantages du navigateur, des corruptions de données, ou une exécution de code contrôlée par un attaquant. Google n’a pas divulgué l’impact exact observé dans les attaques, donc les défenseurs devraient éviter de supposer qu’une chaîne de compromission complète documentée publiquement existe déjà.

Les équipes de sécurité peuvent utiliser la plateforme d’intelligence détection native à l’IA de SOC Prime pour renforcer la couverture de détection contre l’exploitation de navigateur, les processus enfants suspects, l’exécution de charge utile et le comportement de suivi de l’attaquant à travers les environnements SIEM, EDR, XDR et Data Lake.

Détectez le CVE-2026-125350 en combinant l’inventaire des versions de navigateur avec la télémétrie des endpoints et du réseau, en surveillant les processus suspects lancés par Chrome, les plantages anormaux du navigateur, les téléchargements de charges utiles inattendus et le comportement post-exploitation se produisant après des visites sur des sites potentiellement malveillants.

Le contenu de détection peut ne pas être disponible pour chaque CVE. Vérifiez la plate-forme SOC Prime pour la couverture actuelle. Si des détections pertinentes ne sont pas encore disponibles, vérifiez à nouveau car de nouveaux renseignements sur les menaces et contenus de détection sont continuellement ajoutés.

Analyse de CVE-2026-125350

CVE-2026-125350 affecte les versions vulnérables de Google Chrome contenant la condition d’utilisation après libération dans le composant XML du navigateur. Google évalue la vulnérabilité comme de haute gravité mais n’a pas publié de score ou vecteur CVSS dans son avis du 9 novembre.

Une utilisation après libération se produit lorsque la mémoire est libérée mais que le logiciel tente plus tard d’accéder au même emplacement mémoire. Si un attaquant peut influencer le contenu placé par la suite dans cette mémoire, la référence obsolète peut potentiellement être manipulée pour modifier le comportement du programme.

Dans un navigateur web, les vulnérabilités de sécurité mémoire sont particulièrement importantes car le contenu contrôlé par un attaquant est systématiquement traité par des composants de navigateur complexes. Cependant, Google n’a pas encore divulgué l’objet XML exact impliqué, la séquence requise pour déclencher le bug, ou le contenu web spécifique utilisé par les attaquants.

Le problème Chromium associé à la vulnérabilité est actuellement restreint. Google limite systématiquement l’accès aux détails techniques des bogues jusqu’à ce qu’une majorité d’utilisateurs ait reçu le patch, et les restrictions peuvent subsister plus longtemps lorsqu’un défaut existe également dans des logiciels tiers.

De ce fait, plusieurs détails techniques importants restent inconnus. Les sources disponibles ne précisent pas si l’exploitation nécessite simplement de visiter une page malveillante, d’ouvrir un contenu XML spécialement conçu, d’interagir avec une page ou un autre mécanisme de livraison. Ils ne confirment pas non plus si les attaquants parviennent à exécuter du code à l’intérieur d’un rendu Chrome, à échapper à la sandbox du navigateur, ou à combiner la vulnérabilité avec un autre défaut.

Le Hacker News note que les bugs d’utilisation après libération peuvent potentiellement mener à une corruption de données, des plantages, ou une exécution de code arbitraire. Cela décrit l’impact de sécurité général de cette classe de vulnérabilité plutôt qu’une description confirmée par Google de la chaîne d’exploitation exacte utilisée contre CVE-2026-125350.

La déclaration de Google est néanmoins significative car l’entreprise confirme explicitement qu’un exploit existe dans la nature. Cela signifie que la vulnérabilité doit être traitée comme une priorité de correction immédiate même si les informations techniques sur les attaques restent limitées.

La vulnérabilité a été signalée anonymement à Google le 6 novembre 2026. Seulement trois jours plus tard, le 9 novembre, Google a publié des versions corrigées de Chrome Stable pour Windows, macOS et Linux et a reconnu l’exploitation active.

La mise à jour contenant la correction zero-day corrige un total de neuf problèmes de sécurité. D’autres défauts de haute sévérité incluent un problème de ressource non initialisée dans WebGL, une autorisation incorrecte dans FileSystem, un débordement de tampon dans Compositing, une écriture hors limites dans GPU, une confusion de type dans V8, et un autre problème d’utilisation après libération dans XML suivi comme CVE-2026-125346. Deux vulnérabilités de sévérité moyenne dans GPU ont également été corrigées.

La présence de CVE-2026-125346 dans la même version mérite d’être distinguée de la vulnérabilité activement exploitée. Les deux problèmes impliquent des conditions d’utilisation après libération dans la fonctionnalité XML de Chrome, mais Google a seulement déclaré que CVE-2026-125350 est exploité dans la nature.

Google a publié les versions fixes Stable suivantes :

Les utilisateurs de Extended Stable sur Windows et macOS devraient passer à la version 156.0.8078.96 ou plus récente.

Comme les mises à jour de Chrome sont déployées progressivement, un navigateur installé peut ne pas recevoir immédiatement la version corrigée. Les utilisateurs et administrateurs devraient donc vérifier la version actuelle au lieu de supposer que les mises à jour automatiques ont déjà résolu le problème.

La situation du PoC pour CVE-2026-125350 nécessite également de la prudence. Google confirme que les attaquants possèdent un exploit fonctionnel, mais ni Google ni les deux rapports soumis n’identifient un proof-of-concept publié reproduisant l’exploit. Les détails des bogues Chromium restent restreints, ce qui limite la capacité des défenseurs à reproduire la vulnérabilité ou identifier des artefacts spécifiques à l’exploit.

Pour la détection de CVE-2026-125350, les organisations devraient commencer par la gestion de l’exposition. Les équipes de sécurité devraient inventorier les versions de Chrome sur les endpoints et identifier les systèmes exécutant des versions antérieures à celles corrigées. Les serveurs atteignables depuis l’internet ne sont pas la préoccupation principale ici ; les postes de travail des employés et autres systèmes utilisés pour la navigation web méritent une attention immédiate.

La télémétrie des endpoints peut offrir des opportunités supplémentaires de chasse. Les défenseurs devraient enquêter sur des processus inhabituels émanant de Chrome, en particulier les interprètes de commandes, moteurs de script, utilitaires système, ou exécutions téléchargeées récemment qui apparaissent immédiatement après l’activité du navigateur.

Un comportement suspect peut inclure l’exécution inattendue de PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe, ou d’autres utilitaires depuis un arbre de processus lié à Chrome. Une telle activité n’est pas spécifique à cette vulnérabilité et ne doit pas être traitée comme preuve d’exploitation, mais elle peut fournir un signal comportemental utile lorsqu’elle est combinée avec des versions vulnérables du navigateur et une activité de navigation suspecte.

Les équipes de sécurité devraient également examiner la télémétrie des endpoints à la recherche de plantages inhabituels de Chrome ou d’échecs de rendu suivis d’une nouvelle exécution de processus, création de fichiers, accès aux_credentials, persistance, ou connexions réseau. Les plantages de navigateurs seuls sont courants et nécessitent donc une corrélation avec d’autres preuves.

La télémetrie des proxys web, DNS, passerelles web sécurisées, et navigateurs des endpoints peut aider à reconstruire l’activité utilisateur immédiatement avant l’exécution suspecte. Les organisations devraient préserver l’historique de navigation et les journaux réseau pertinents si l’exploitation est suspectée, en particulier car Google n’a pas publié d’informations sur les sites web ou l’infrastructure utilisés dans les attaques observées.

Il n’existe actuellement aucun IOC fournisseur publié pour CVE-2026-125350, tel que des domaines malveillants, adresses IP, hachages de charges utiles, ou infrastructure d’attaquant. Google n’a pas non plus divulgué les acteurs de la menace responsables, les organisations affectées, l’étendue de la campagne, ou le ciblage géographique.

Cette absence d’indicateurs statiques rend la surveillance behaviorale et la gestion rapide des versions de navigateur particulièrement importantes. Une chasse basée exclusivement sur des hachages ou des domaines connus ne peut pas déterminer de manière fiable si un environnement a rencontré l’exploitation lorsque l’infrastructure d’attaque publique reste inconnue.

Les organisations utilisant des navigateurs basés sur Chromium tels que Microsoft Edge, Brave, Opera et Vivaldi devraient surveiller les avis de leurs fournisseurs respectifs et déployer les mises à jour de sécurité pertinentes dès qu’elles sont disponibles. Le Hacker News recommande spécifiquement aux utilisateurs de ces navigateurs d’appliquer les corrections lorsque leurs fournisseurs les publient.

Atténuation de CVE-2026-125350

Le remède principal est de mettre à jour Google Chrome immédiatement vers une version corrigée et de redémarrer le navigateur pour que la version corrigée soit en cours d’exécution.

Google a publié :

• Chrome 157.0.8103.50/.51 pour Windows
• Chrome 157.0.8103.50/.51 pour macOS
• Chrome 157.0.8103.50 pour Linux
• Chrome Extended Stable 156.0.8078.96 pour Windows et macOS

Chrome télécharge normalement les mises à jour automatiquement, mais les utilisateurs doivent relancer le navigateur pour que la version mise à jour remplace le processus vulnérable en cours d’exécution. Le Hacker News recommande d’ouvrir Plus → Aide → À propos de Google Chrome et de relancer une fois que la mise à jour est installée.

Les équipes de sécurité d’entreprise devraient prendre les mesures suivantes :

1. Inventorier les versions de Chrome sur les endpoints gérés.
2. Prioriser les systèmes utilisant encore des versions antérieures aux versions corrigées Stable ou Extended Stable.
3. Forcer ou accélérer les mises à jour de Chrome via les outils de gestion du navigateur d’entreprise.
4. Vérifier que les navigateurs ont réellement été redémarrés après réception du correctif.
5. Surveiller les endpoints qui ne peuvent pas être mis à jour immédiatement pour des processus d’origine navigateur suspects.
6. Restreindre l’accès aux infrastructures web malveillantes connues ou nouvellement enregistrées à travers les contrôles de sécurité web existants.
7. Examiner la télémétrie de sécurité pour une activité Chrome suspecte ayant eu lieu avant le déploiement du correctif.
8. Surveiller les avis des fournisseurs pour les navigateurs basés sur Chromium et mettre à jour ces produits lorsque des corrections sont disponibles.

Étant donné que l’exploitation a déjà eu lieu dans la nature, la correction ne devrait pas être la seule réponse pour les systèmes qui ont pu être exposés. Les administrateurs devraient envisager de revoir l’activité récente des endpoints vulnérables, en particulier lorsque les outils de sécurité ont enregistré des plantages inhabituels de Chrome, une exécution de commandes depuis le navigateur, des téléchargements suspects, ou des connexions à une infrastructure non digne de confiance.

Si une activité suspecte est découverte, isolez le endpoint affecté et préservez la navigation, l’EDR, les DNS, le proxy et la télémétrie réseau avant la remédiation. Les enquêteurs devraient reconstruire l’activité du navigateur précédant l’événement et déterminer si des charges utiles de suivi, vol d’identifiants, persistance, ou mouvements latéraux ont eu lieu.

Les organisations devraient aussi vérifier si le navigateur fonctionnait sous un compte ayant accès à des sessions web sensibles, applications d’entreprise, consoles cloud, ou identifiants privilégiés. Selon les preuves de compromission, la révocation des sessions et la rotation des identifiants peuvent être appropriées.

La divulgation restreinte de Google signifie que les défenseurs ne disposent pas actuellement de suffisamment d’informations publiques pour construire une signature pour l’exploit réel. Cela renforce l’importance de la gestion des correctifs et de la détection générique d’exploitation plutôt que d’attendre une signature de réseau ou de fichier fiable.