Faille Chrome zero-day CVE-2026-125350 : la mise à jour ne compte qu’après le redémarrage
Lundi 9 novembre 2026, Google a publié une mise à jour d’urgence de Chrome. Parmi les neuf failles corrigées, une est déjà utilisée par des pirates : la faille Chrome zero-day CVE-2026-125350. C’est la huitième fois depuis janvier que Google doit corriger une faille de Chrome exploitée avant même que le correctif existe.
Pour une PME, le navigateur est l’outil le plus utilisé de la journée : Microsoft 365, la banque en ligne, le logiciel comptable, le CRM, tout passe par lui. Une faille exploitée dans Chrome peut permettre à une page Web piégée d’exécuter du code sur le poste. La bonne nouvelle : la correction ne prend que deux minutes par ordinateur. La mauvaise : elle n’est appliquée qu’au redémarrage du navigateur, et beaucoup de gens ne ferment jamais Chrome.
Faille Chrome zero-day CVE-2026-125350 : ce que l’on sait
8e
zero-day Chrome exploité depuis le début de 2026
6 nov.
date où un chercheur anonyme a signalé la faille à Google
3 jours
entre le signalement et le correctif publié le 9 novembre
9
failles corrigées dans cette mise à jour, dont 7 de gravité élevée
La faille se trouve dans le composant qui lit le XML, un format de données très courant sur le Web. Il s’agit d’une erreur de type « use-after-free » : Chrome libère une zone de mémoire, puis la réutilise par erreur. Un attaquant qui contrôle une page Web peut s’en servir pour corrompre la mémoire et, dans le pire des cas, exécuter son propre code. Google confirme qu’un exploit « existe dans la nature », mais garde les détails secrets tant que la majorité des utilisateurs n’a pas fait la mise à jour. On ne sait donc pas encore qui est visé.
Les versions à atteindre
Vérifier un poste en deux minutes
Dans Edge, le chemin est semblable : ⋯ > Aide et commentaires > À propos de Microsoft Edge. Sur un téléphone, passez par le Play Store ou l’App Store.
4 idées reçues sur les mises à jour du navigateur
❌ Mythe 1
« Chrome se met à jour tout seul, je n’ai rien à faire. »
✅ Fait 1
Il télécharge la mise à jour tout seul, mais ne l’applique qu’au redémarrage. Un ordinateur jamais éteint peut garder une version vulnérable pendant des semaines.
❌ Mythe 2
« J’utilise Edge, ça ne me concerne pas. »
✅ Fait 2
Edge est construit sur le même moteur que Chrome. Il reçoit son propre correctif : vérifiez sa version aussi.
❌ Mythe 3
« Je ne visite que des sites connus. »
✅ Fait 3
Des sites légitimes sont régulièrement piratés ou affichent des publicités piégées. Une seule page suffit.
❌ Mythe 4
« Notre antivirus va bloquer l’attaque. »
✅ Fait 4
Il aide, mais une faille du navigateur s’exploite à l’intérieur d’un programme de confiance. Le correctif reste la vraie protection.
La règle simple à mettre en place
Navigateurs : 4 règles pour votre PME
⏰ Relance obligatoire en 48 h
Avec Microsoft Intune ou les stratégies de groupe, forcez le redémarrage du navigateur dans les 48 heures après une mise à jour de sécurité.
📋 Un seul navigateur approuvé
Idéalement Edge ou Chrome, pas les deux, plus le moins possible d’extensions. Moins de logiciels à surveiller.
🔎 Un inventaire des versions
Votre fournisseur TI doit pouvoir dire en 5 minutes combien de postes sont encore vulnérables.
💤 Fermer le navigateur le vendredi
Une habitude simple : fermer complètement Chrome et Edge en fin de semaine, ou redémarrer le poste.
Les extensions méritent aussi un coup d’œil : en octobre, 319 extensions Chrome malveillantes détournaient les recherches de leurs utilisateurs. Et si un poste a été touché, rappelez-vous qu’un pirate cherche souvent à voler les sessions ouvertes : lisez pourquoi, dans ce cas, changer le mot de passe Microsoft 365 ne suffit pas.
Comment NeoTech peut vous aider
Nous gérons les mises à jour de vos postes, navigateurs compris, avec des stratégies qui forcent le redémarrage au bon moment et un rapport clair des postes en retard. Notre surveillance automatisée 24/7 avec intervention du technicien de garde réagit si un poste montre un comportement anormal après la visite d’un site. Découvrez nos services informatiques gérés et nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions avec vous comment vos navigateurs et vos postes sont mis à jour, et combien restent en retard aujourd’hui.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Google — Chrome Releases, mise à jour du canal stable (9 nov. 2026) (en anglais)
- SecurityWeek — la mise à jour de Chrome corrige un zero-day XML exploité, le huitième cette année (en anglais)
- The Hacker News — Google publie une mise à jour pour le 8e zero-day Chrome exploité de 2026 (en anglais)
Photo : AS Photography, Pexels (licence Pexels).