Chrome 156 : 21 failles corrigées, dont une critique

Google a publié le 29 octobre 2026 une mise à jour de sécurité de Chrome 156 qui corrige 21 vulnérabilités, dont une classée critique. Les canaux Stable et Extended Stable passent en version 156.0.8078.79/.80 sur Windows et macOS, et en 156.0.8078.79 sur Linux. Le déploiement se fait progressivement « dans les jours ou semaines à venir », selon l'annonce de l'équipe Chrome : mieux vaut donc forcer la mise à jour sans attendre.

Une faille critique dans MediaStream

La vulnérabilité la plus grave, CVE-2026-76024, est une corruption de mémoire dans MediaStream, le composant qui gère les flux audio et vidéo (webcam, micro, partage d'écran). Elle a été signalée le 21 octobre par le chercheur Xinyang Ge. Le montant de la récompense n'est pas encore fixé.

Comme souvent, Google ne donne pas de détails techniques : l'accès aux rapports de bugs reste restreint tant qu'une majorité d'utilisateurs n'a pas reçu le correctif. Point important, l'annonce ne mentionne aucune exploitation active de ces failles. Il ne s'agit donc pas d'un correctif d'urgence pour un zero-day, mais d'une mise à jour à appliquer rapidement.

19 failles de gravité élevée

Le reste du lot se compose de 19 failles jugées « élevées » et d'une faille « moyenne ». On y trouve surtout des erreurs de gestion de la mémoire, la famille de bugs la plus courante dans les navigateurs :

• des use-after-free dans FileSystem, Input, Frames, Quota, Blink et Skia ;
• des corruptions de mémoire dans Autofill, CacheStorage, Network, FileSystem, GarbageCollection, Dawn (la couche WebGPU), Quota et DOM ;
• des défauts de validation des entrées dans Skia, V8 (le moteur JavaScript) et CacheStorage ;
• un dépassement d'entier dans Editing.

La faille moyenne, CVE-2026-119272, est une lecture hors limites dans FileSystem. Une bonne partie de ces bugs a été trouvée par Google lui-même, le reste par des chercheurs externes. L'éditeur rappelle que nombre de ses failles sont détectées grâce à des outils comme AddressSanitizer, MemorySanitizer ou libFuzzer.

Comment vérifier sa version

Sur ordinateur, la mise à jour s'obtient en ouvrant le menu Aide > À propos de Google Chrome (ou en tapant chrome://settings/help dans la barre d'adresse). Le navigateur télécharge alors la nouvelle version, qui ne s'applique qu'après un redémarrage. C'est souvent là que le bât blesse : un Chrome laissé ouvert pendant des jours continue de tourner sur l'ancienne version.

En entreprise, les administrateurs qui pilotent Chrome par stratégies de groupe ou via la console Google Admin ont intérêt à vérifier que les postes ont bien atteint la version 156.0.8078.79 ou supérieure. Les navigateurs basés sur Chromium (Edge, Brave, Opera, Vivaldi) partagent une grande partie de ce code : il faut surveiller leurs propres mises à jour, publiées selon leur calendrier.

Chrome 157 déjà en approche

En parallèle, Google a lancé le 28 octobre une version « early stable » de Chrome 157 (157.0.8103.26/.27) pour un petit pourcentage d'utilisateurs Windows, macOS devant suivre. Cette étape précède le passage de Chrome 157 à l'ensemble du canal Stable.

Côté concurrence, Mozilla a récemment publié Firefox 159. Pour renforcer la sécurité de son navigateur au-delà des mises à jour, l'adoption des passkeys reste l'une des mesures les plus efficaces contre le vol d'identifiants.