Aller au contenu
KLYNLABS

Chrome 157 corrige CVE-2026-125350, faille XML déjà exploitée

Neuf correctifs le 9 novembre 2026, dont un use-after-free XML que Google dit déjà exploité.

Kelvyn4 min de lecture
Illustration d’un navigateur web, en couverture de l’article sur le correctif Chrome 157.

Photo : Illustration générée par IA (Google Flow)

Google a publié le 9 novembre 2026, à 20 h 52 UTC, Chrome 157.0.8103.50 et 157.0.8103.51 pour Windows et macOS, ainsi que Chrome 157.0.8103.50 pour Linux, avec neuf correctifs de sécurité dont un déjà exploité. Le billet du canal stable, signé Srinivas Sista, est horodaté 12 h 52, heure du Pacifique. Le déploiement est annoncé sur plusieurs jours ou semaines.

Un seul correctif est lié à une exploitation en cours. CVE-2026-125350, sévérité haute, est un use-after-free dans le composant XML, signalé anonymement le 6 novembre 2026 (bogue 582442907). La récompense est notée N/A, sans montant.

Un exploit confirmé, sans description d’attaque

Srinivas Sista écrit, dans le billet du canal stable :

Google is aware that an exploit for CVE-2026-125350 exists in the wild.

Le texte ne nomme ni attaque, ni cible, ni effet observé au-delà du type de bogue. L’accès aux détails peut rester restreint jusqu’à ce qu’une majorité d’utilisateurs ait le correctif, ou si le bogue est dans une bibliothèque tierce encore non corrigée ailleurs.

Une autre faille XML du même train n’est pas celle que Google dit exploitée. CVE-2026-125346, haute, est aussi un use-after-free dans XML. Arni Hardarson, de Neonix Security, l’a signalée le 12 octobre 2026 (bogue 572578603, récompense notée TBD). Eduard Kovacs, dans SecurityWeek le 10 novembre 2026 à 1 h 12, heure de l’Est, écrit qu’aucune information publique ne décrit les attaques contre CVE-2026-125350.

Les autres failles du billet stable

Sept failles sont hautes, les deux XML comprises. Cinq hautes, hors XML, ont été signalées par Google, récompense notée N/A :

  • CVE-2026-125345, ressource non initialisée dans WebGL, le 21 août 2026.

  • CVE-2026-125347, autorisation incorrecte dans FileSystem, le 15 septembre 2026.

  • CVE-2026-125343, dépassement de tampon dans Compositing, le 15 septembre 2026.

  • CVE-2026-125348, écriture hors limites dans le GPU, le 18 septembre 2026.

  • CVE-2026-125344, confusion de type dans V8, le 2 octobre 2026.

Deux failles moyennes sont des ressources non initialisées dans le GPU :

  • CVE-2026-125349, signalée par Google le 20 juillet 2026, récompense N/A.

  • CVE-2026-125342, signalée le 26 septembre 2026 par Vo Duc Thang (ugvxb), récompense TBD.

Android reprend le train, l’Extended Stable aussi

Le 9 novembre 2026 à 23 h 00 UTC, Harry Souders annonce Chrome 157.0.8103.50 pour Android, sur Google Play dans les jours suivants. Les versions Android contiennent les mêmes correctifs de sécurité que le bureau correspondant, sauf mention contraire. Cette page ne note pas d’exception, ne liste pas les CVE et ne répète pas la phrase sur l’exploit.

À 20 h 45 UTC, l’Extended Stable pour Windows et Mac passe en 156.0.8078.96, avec onze correctifs. La liste inclut CVE-2026-125350, CVE-2026-125346, CVE-2026-125345 et CVE-2026-125347, plus CVE-2026-121068, CVE-2026-121076, CVE-2026-121095, CVE-2026-121208, CVE-2026-121213, CVE-2026-121233 et le correctif moyen CVE-2026-121184. Ces six derniers ne sont pas décrits, et le billet ne parle pas d’exploit ni de Linux. Ce canal reste sur la branche 156.

Le huitième de l’année, chez deux rédactions seulement

Ravie Lakshmanan (The Hacker News, 10 novembre 2026) et Eduard Kovacs (SecurityWeek, le même jour à 1 h 12, heure de l’Est) comptent CVE-2026-125350 comme le huitième zéro-day Chrome exploité en 2026. Ils citent CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 et CVE-2026-87491. Srinivas Sista ne donne pas ce total. Ce total n’est pas dans le billet de Google.

Le fichier public du catalogue KEV, version 2026.11.09, daté du 9 novembre 2026 à 19 h 54 UTC, compte 1 773 fiches. CVE-2026-125350 n’y est pas. Ce fichier précède le billet stable d’environ une heure. SecurityWeek le notait déjà à 1 h 12, heure de l’Est. L’absence ne préjuge pas d’un ajout ultérieur.

D’autres bulletins, déjà traités, ne sont pas celui-ci : Firefox 159 et un Patch Tuesday de Microsoft qui corrigeait deux failles déjà exploitées.

Vérifier le numéro, pas seulement la date

The Hacker News indique d’ouvrir la page À propos de Google Chrome, puis de relancer le navigateur. Edge, Brave, Opera et Vivaldi ne sont pas dans les billets Google. La rédaction dit qu’ils recevront le correctif quand leur éditeur le publiera. Chrome pour iOS n’est pas dans ces trois billets. Le dernier stable ChromeOS du flux date du 6 novembre 2026. Le bêta ChromeOS du 9 novembre n’est pas utilisé ici.

Sources

Tags

Partager

Cet article peut servir à quelqu'un ?

Envoyez-le à un proche en un geste, ou partagez-le sur vos réseaux. Voici la carte qui s'affichera avec votre lien.

Aperçu de la carte de partage : Chrome 157 corrige CVE-2026-125350, faille XML déjà exploitée

Votre mot accompagne le lien. Modifiez-le si vous voulez.

À lire ensuite