Une faille Chrome publiée par la National Vulnerability Database touche le navigateur de Google sur les postes de travail. Le correctif est déjà disponible: il faut amener Chrome à la version 156.0.8078.73 ou une version plus récente, sur chaque appareil.
C’est quoi ?
Un défaut du navigateur Google Chrome permettrait à une simple page Web piégée de faire exécuter des instructions non prévues sur l’ordinateur qui la consulte.
La vulnérabilité porte le numéro CVE-2026-118305. Selon la fiche de la National Vulnerability Database publiée le 27 octobre 2026, elle touche Google Chrome avant la version 156.0.8078.73. Une page Web conçue à cette fin pourrait permettre à un attaquant à distance d’exécuter du code au-delà des protections internes du navigateur. Ces protections, que les informaticiens appellent le bac à sable, gardent ce qui vient d’Internet dans une pièce fermée, à l’écart du reste de l’ordinateur. Ici, la cloison peut céder. C’est un peu comme une porte de garage restée entrouverte: rien ne paraît de la rue, et pourtant le passage vers la maison n’est plus bloqué. La même fiche mentionne onze autres vulnérabilités de Chrome au même seuil de gravité, publiées pendant la même période.
Pourquoi c’est grave ?
La fiche NVD attribue 9,6 sur 10, soit le haut de l’échelle, et ne fait état d’aucune exploitation à ce jour; le correctif, lui, existe déjà.
Ce 9,6 sur 10 est un score CVSS 3.1: une grille internationale qui note la gravité d’une vulnérabilité de 0 à 10, attribuée ici par l’organisme déclarant (CNA). La même fiche ne mentionne ni exploitation ni preuve de concept publique. C’est l’état de l’information consultée, rien de plus: l’absence de signalement ne démontre pas qu’aucune attaque n’a eu lieu.
En termes d’affaires, un poste compromis par le navigateur devient un point d’entrée possible vers ce que son utilisateur peut atteindre: boîte de courriels, dossiers clients, documents comptables. L’étendue réelle dépend des droits du poste et des protections en place. Une compromission ne donne pas automatiquement accès à tout, et surtout pas aux comptes bancaires. Il n’existe pas de protection absolue, mais installer le correctif sans attendre réduit fortement l’exposition.
Ça touche qui ?
Les postes où une version de Google Chrome antérieure à 156.0.8078.73 est encore installée.
Produit: Chrome. Éditeur: Google. Versions touchées: antérieures à 156.0.8078.73. Version corrigée: 156.0.8078.73. La fiche NVD ne précise pas les systèmes d’exploitation concernés, et les documents consultés ne disent rien des autres navigateurs. Chrome servant dans tous les secteurs, du garage à la clinique, aucun corps de métier n’est à l’écart; mais les postes visés sont seulement ceux qui utilisent encore une version antérieure au correctif.
Comment vérifier dans mon entreprise ?
Il s’agit de confirmer le numéro de version de Chrome sur chaque poste, puis de s’assurer que la correction s’installe sans intervention humaine.
- Faire relever le numéro de version de Chrome sur chaque poste, par le menu Aide, puis Informations sur Google Chrome (direction ou responsable interne).
- Confirmer que la version installée est 156.0.8078.73 ou plus récente et que le navigateur a bien été redémarré après l’installation (prestataire informatique).
- Obtenir la confirmation que la correction automatique est active sur tout le parc, télétravail compris (prestataire informatique, ou fournisseur de votre logiciel de gestion de parc, l’outil qui recense les appareils de l’organisation et y installe les correctifs à distance).
Ce que la faille Chrome change pour une organisation d’ici
Pour une PME du Québec, la question est concrète: combien de postes utilisent encore une version antérieure, et qui se charge de les corriger. Les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité placent l’application rapide des correctifs parmi les premières mesures attendues d’une petite organisation.
Mise en situation
Exemple fictif: une clinique dentaire de quartier n’a pas redémarré ses navigateurs depuis des semaines.
Un lundi matin, la réceptionniste cherche un fournisseur de matériel et ouvre une page qui lui semble normale. Le poste ralentit, puis le logiciel de rendez-vous refuse de s’ouvrir. Le prestataire informatique isole la machine et fait changer les mots de passe. La journée de rendez-vous est reportée, les patients sont rappelés un par un, et la direction doit vérifier si des renseignements de santé ont été consultés. Rien de spectaculaire: une semaine de travail désorganisée pour une correction remise à plus tard.
Quoi faire maintenant
- Demander dès aujourd’hui la liste des postes où Chrome est installé, télétravail compris.
- Installer la version 156.0.8078.73 ou plus récente, puis redémarrer chaque navigateur pour que le correctif prenne effet.
- Activer les mises à jour automatiques du navigateur, afin de ne plus dépendre de la vigilance de chacun.
- Convenir avec votre prestataire d’une règle écrite sur l’application des correctifs critiques, et consigner la vérification faite cette semaine.
FAQ
Faut-il cesser d’utiliser Chrome ?
Non. Le problème ne vient pas du navigateur comme produit, mais d’une version dépassée, et l’éditeur a déjà publié une version corrigée. Changer de navigateur dans l’urgence créerait d’autres risques: extensions mal vérifiées (ces petits modules que l’on ajoute au navigateur pour lui donner des fonctions supplémentaires), mots de passe recopiés à la main, employés désorientés. La bonne décision est la correction, puis son automatisation pour les prochaines fois.
Aucune attaque n’est signalée, peut-on attendre ?
Nous ne le recommandons pas. La fiche NVD n’en signale aucune, mais la vulnérabilité est désormais publique, tout comme le correctif. Attendre, c’est laisser ouverte une porte dont l’existence est maintenant connue.
Et si un poste avait déjà été touché ?
Faites-le examiner par votre prestataire avant de le remettre en service. Au Québec, la Loi 25 impose de tenir un registre des incidents de confidentialité et, lorsqu’un risque de préjudice sérieux existe, d’en informer la Commission d’accès à l’information et les personnes concernées. Méfiez-vous enfin de tout discours promettant une protection totale: aucun prestataire ne peut garantir un risque zéro.
Sources
- Fiche CVE-2026-118305 de la National Vulnerability Database · NIST, 27 octobre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-118305
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
