CVE-2025-10585 : Nouvelle faille Zero-Day dans le moteur V8 JavaScript et WebAssembly de Chrome exploitée lors d’attaques réelles
Suite à la découverte de CVE-2025-7775, une vulnérabilité critique de type RCE dans Citrix NetScaler déjà activement exploitée, une autre faille zéro-day est désormais apparue dans le domaine des cybermenaces et est activement utilisée dans des attaques réelles. L’incident, suivi sous le code CVE-2025-10585, correspond à une vulnérabilité de type confusion (type confusion) de haute gravité dans le moteur JavaScript et WebAssembly V8 de Chrome, permettant aux attaquants d’exécuter du code malveillant sur les systèmes des victimes en les incitant à visiter un site compromis avec un JavaScript spécialement conçu.
On observe une augmentation générale des zéro-day exploités et une réduction de la fenêtre d’exploitation, rendant les mises à jour opportunes cruciales. Au cours de l’année 2025, six incidents de vulnérabilités zéro-day de Google Chrome ont déjà été documentés publiquement comme ayant été activement exploités, notamment CVE-2025-5419 et CVE-2025-6558. Le nouveau zéro-day de Chrome expose des millions d’organisations à un risque élevé puisqu’il est déjà activement exploité.
Inscrivez-vous à la plateforme SOC Prime pour renforcer vos défenses à grande échelle grâce à une expertise en cybersécurité et à l’IA. La plateforme SOC Prime propose un stack de détection complet pour identifier et traiter en temps réel les tentatives d’exploitation des vulnérabilités filtrées par le tag « CVE » correspondant. Cliquez sur Explorer les Détections pour obtenir les règles Sigma pertinentes afin d’aider votre équipe à réduire les risques d’exploitation des CVE lorsque chaque seconde compte.
Toutes les détections sont enrichies avec des renseignements sur les menaces natifs de l’IA pour fournir un contexte approfondi et sont mappées sur MITRE ATT&CK®. Les algorithmes de détection peuvent également être convertis automatiquement vers plusieurs technologies SIEM, EDR et Data Lake, facilitant ainsi les tâches d’ingénierie de détection.
Les équipes de sécurité peuvent également utiliser Uncoder AI pour effectuer l’ingénierie de détection de bout en bout : convertir les renseignements bruts des rapports en requêtes IOC personnalisées, visualiser les Attack Flows, activer la prédiction des tags ATT&CK, appliquer l’optimisation des requêtes pilotée par l’IA et traduire le code de détection dans divers formats de langage.
Analyse de CVE-2025-10585
Google a récemment publié des mises à jour de sécurité pour le navigateur Chrome afin de corriger quatre vulnérabilités, dont un zéro-day activement exploité identifié comme CVE-2025-10585, une faille de type confusion dans le moteur V8 JavaScript et WebAssembly de Chrome. Ces vulnérabilités peuvent être exploitées pour provoquer un comportement inattendu, y compris l’exécution de code arbitraire et des plantages, simplement en incitant les utilisateurs à charger une page Web malveillante, ce qui les rend très dangereuses pour les campagnes d’exploitation à grande échelle.
Les chercheurs de Google ont découvert et signalé CVE-2025-10585 le 16 septembre 2025. Le fournisseur a retenu les détails techniques et d’exploitation pour empêcher les acteurs malveillants d’abuser de la faille avant que les utilisateurs aient le temps d’appliquer le correctif.
Parallèlement à ce bug activement exploité, la mise à jour corrige également trois autres vulnérabilités de haute gravité pouvant entraîner la compromission du système. L’une d’elles, CVE-2025-10500, est un bug de type use-after-free dans l’implémentation Dawn WebGPU.
Le fournisseur a confirmé qu’un exploit pour CVE-2025-10585 est actuellement utilisé dans des attaques réelles. L’émergence de cette menace marque le sixième zéro-day de Chrome cette année à être soit activement exploité, soit démontré dans une attaque PoC.
Pour atténuer les risques d’exploitation de CVE-2025-10585, il est recommandé aux utilisateurs de Chrome de mettre à jour vers la version 140.0.7339.185/.186 sous Windows et macOS, ou 140.0.7339.185 sous Linux. Les utilisateurs d’autres navigateurs basés sur Chromium, y compris Microsoft Edge, Brave, Opera et Vivaldi, sont également invités à installer les mises à jour de sécurité correspondantes dès leur publication. Pour rester protégés, les utilisateurs peuvent vérifier manuellement les mises à jour, et les organisations doivent donner la priorité au déploiement des correctifs et appliquer des mesures de sécurité supplémentaires jusqu’à ce que tous les systèmes soient à jour.
Alors que les failles zéro-day dans Google Chrome et d’autres logiciels populaires se multiplient et que les tentatives d’exploitation augmentent, les organisations doivent rester vigilantes quant à leur posture de sécurité. SOC Prime équipe les équipes de sécurité avec une suite complète de produits pour une défense prête pour l’entreprise, soutenue par l’IA, l’automatisation et le CTI exploitable, et construite selon les principes de sécurité zero-trust afin d’aider les organisations à surmonter les cybermenaces.
