En Bref

• La mise à jour Chrome 142 corrige cinq vulnérabilités, dont trois classées à haute gravité.
• Les failles principales affectent WebGPU, le framework Views UI, et le moteur JavaScript V8.
• Aucune preuve d’exploitation active pour l’instant, mais des bugs similaires ont été utilisés lors de cyberattaques majeures.
• Les menaces basées sur les navigateurs augmentent à mesure que les applications web et les charges de travail IA deviennent plus complexes.
• Les mises à jour sont en cours de déploiement pour les utilisateurs Windows, Mac et Linux.

Un champ de bataille morcelé : les navigateurs assiégés

Imaginez votre navigateur web comme une ville animée aux centaines de portes ouvertes - chaque onglet étant une fenêtre sur votre vie numérique. Pour les cybercriminels, chaque page ouverte est une possible effraction. Cette semaine, Google s’est précipité pour renforcer les remparts de la ville, publiant Chrome 142 afin de colmater cinq failles de sécurité, dont trois suffisamment graves pour permettre à des attaquants chevronnés de franchir les défenses numériques.

La plus inquiétante de ces failles est CVE-2025-12725, une vulnérabilité de type “out-of-bounds write” tapie dans le moteur graphique WebGPU de Chrome. Imaginez WebGPU comme le réseau électrique de la ville, alimentant des visuels haute performance pour tout, des jeux vidéo aux outils d’IA. Mais une petite erreur dans la vérification des limites de mémoire par Chrome signifiait que des hackers pouvaient, en théorie, détourner ce réseau pour faire planter le navigateur - ou pire, exécuter leur propre code.

Alors que la frontière entre applications de bureau et applications web s’estompe, les charges de travail IA et graphiques dans les navigateurs deviennent une cible de choix. Selon la société de sécurité SOCRadar, le risque n’est pas que théorique : des attaquants sophistiqués cherchent constamment ces failles, surtout à mesure que les entreprises s’appuient davantage sur la technologie des navigateurs pour leur travail quotidien.

Vieilles astuces, nouvelles cibles : leçons des brèches passées

La mise à jour de Chrome comble également des failles dans son framework Views UI (CVE-2025-12726) et dans le moteur JavaScript V8 (CVE-2025-12727). En termes simples, ce sont les systèmes qui gèrent ce que vous voyez à l’écran et la façon dont les pages web exécutent du code, respectivement. Des faiblesses à ce niveau ont déjà été exploitées : en 2023, un bug V8 a permis la diffusion de logiciels espions liés à des groupes de hackers internationaux. Les erreurs de confusion de type et de gestion de la mémoire - où le navigateur est trompé sur le type de données qu’il manipule - peuvent permettre à des attaquants de prendre le contrôle à distance.

Les deux autres correctifs concernent des problèmes de gravité moyenne dans Omnibox, la barre d’adresse de Chrome. Moins spectaculaires, ces “implémentations inappropriées” peuvent néanmoins servir de tremplin à des attaques plus complexes. Dans le monde à haut risque de la sécurité des navigateurs, aucun bug n’est trop petit pour être ignoré.

Pourquoi les navigateurs sont désormais des cibles de choix

Comme le souligne Gene Moody, CTO d’Action1, les navigateurs représentent désormais la plus grande surface d’attaque dans la plupart des organisations. Contrairement aux logiciels traditionnels, les navigateurs sont toujours actifs, toujours connectés, et exécutent constamment du nouveau code - parfois depuis des sites de confiance, parfois via des publicités douteuses ou des pop-ups. Le rythme de découverte et d’exploitation des failles fait que les mises à jour de navigateurs sont désormais plus fréquentes que pour la plupart des autres logiciels, parfois plusieurs fois par semaine. Prendre du retard, même brièvement, peut être désastreux.

Bien que Google affirme qu’aucune exploitation de ces failles n’ait été détectée pour l’instant, l’histoire montre que la divulgation publique déclenche souvent une course entre correcteurs et hackers. La mise à jour Chrome 142 est un bouclier crucial, mais la bataille ne s’arrête jamais vraiment.

WIKICROOK

• Out : La vérification Out-of-Band confirme l’identité via un canal séparé, comme un appel téléphonique ou un SMS, afin de renforcer la sécurité et d’empêcher les accès non autorisés.
• WebGPU : WebGPU est une technologie de navigateur qui permet aux sites web d’utiliser le GPU de votre ordinateur pour des graphismes avancés, offrant des jeux plus fluides et des visuels interactifs en ligne.
• V8 JavaScript Engine : Le moteur JavaScript V8 est la technologie de Google pour exécuter rapidement du JavaScript dans Chrome, Node.js et d’autres plateformes, permettant des applications web rapides.
• Type Confusion : La confusion de type est une erreur de programmation où un logiciel interprète mal les types de données, ce qui peut permettre à des attaquants d’exécuter du code malveillant ou de compromettre la sécurité.
• Zero : Une vulnérabilité zero-day est une faille de sécurité cachée, inconnue de l’éditeur du logiciel et sans correctif disponible, ce qui la rend très précieuse et dangereuse pour les attaquants.