En bref

  • CVE-2026-5281 : use-after-free dans Dawn (WebGPU) de Google Chrome — quatrième zero-day Chrome de 2026
  • Tous les navigateurs Chromium affectés : Chrome, Edge, Opera, Brave — versions antérieures à 146.0.7680.177
  • Action urgente : mettre à jour Chrome et tous les navigateurs Chromium immédiatement

Les faits

Google a publié le 1er avril 2026 une mise à jour de sécurité d'urgence pour Chrome afin de corriger la vulnérabilité CVE-2026-5281, une faille de type use-after-free dans Dawn, l'implémentation open-source et multiplateforme du standard WebGPU. Cette vulnérabilité permet à un attaquant distant ayant compromis le processus de rendu du navigateur d'exécuter du code arbitraire via une page HTML spécialement conçue. Google a confirmé qu'un exploit pour cette faille existe et est activement utilisé dans la nature, ce qui en fait le quatrième zero-day Chrome corrigé depuis le début de l'année 2026.

La CISA a ajouté CVE-2026-5281 à son catalogue KEV le 1er avril 2026, fixant une date limite de correction au 15 avril 2026 pour les agences fédérales américaines. Le CERT-FR a également signalé cette vulnérabilité dans ses avis concernant Microsoft Edge, confirmant que tous les navigateurs basés sur Chromium sont affectés. Le chercheur en sécurité qui a rapporté cette faille a également identifié d'autres vulnérabilités dans le même composant, notamment un heap buffer overflow dans WebGL (CVE-2026-4675) et des use-after-free supplémentaires dans Dawn (CVE-2026-4676 et CVE-2026-5284), tous corrigés dans les mises à jour récentes.

Impact et exposition

La surface d'attaque est considérable : tout utilisateur de Chrome, Microsoft Edge, Opera, Brave ou tout autre navigateur basé sur Chromium exécutant une version antérieure à 146.0.7680.177 (Linux) ou 146.0.7680.177/178 (Windows/Mac) est vulnérable. L'exploitation nécessite que la victime visite une page web malveillante, ce qui peut être réalisé via du phishing, des publicités malveillantes (malvertising) ou la compromission de sites légitimes. Un attaquant exploitant cette faille peut s'échapper du bac à sable du navigateur et exécuter du code sur le système de la victime, ouvrant la porte au vol de données, à l'installation de malwares ou à la prise de contrôle complète du poste. Les environnements professionnels où les navigateurs ne sont pas mis à jour automatiquement sont particulièrement exposés.

Recommandations immédiates

  • Mettre à jour Chrome vers la version 146.0.7680.177 ou ultérieure (Linux) / 146.0.7680.178 (Windows/Mac) — Google Chrome Stable Channel Update, avril 2026
  • Mettre à jour Microsoft Edge, Brave, Opera et tout navigateur basé sur Chromium vers leur dernière version stable
  • Vérifier la mise à jour automatique des navigateurs dans votre parc informatique via votre solution de gestion de parc (SCCM, Intune, etc.)
  • Sensibiliser les utilisateurs au risque de phishing ciblant cette vulnérabilité via des pages web piégées
  • Activer les politiques de groupe pour forcer le redémarrage des navigateurs après mise à jour

⚠️ Urgence

Zero-day activement exploité — quatrième de l'année pour Chrome. La mise à jour est disponible et doit être appliquée immédiatement sur tous les postes. Les navigateurs Chromium non patchés exposent les utilisateurs à l'exécution de code à distance via une simple visite de page web malveillante.

Comment vérifier si mon navigateur Chrome est à jour ?

Ouvrez Chrome et accédez à chrome://settings/help (ou Menu > Aide > À propos de Google Chrome). La version installée s'affiche et Chrome vérifie automatiquement les mises à jour. Vous devez voir la version 146.0.7680.177 ou supérieure. Si une mise à jour est disponible, cliquez sur Relancer pour l'appliquer. Pour Microsoft Edge, accédez à edge://settings/help. Pour vérifier la version à grande échelle dans votre entreprise, utilisez votre outil de gestion de parc ou la commande chrome --version en ligne de commande.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit