Google a corrigé une faille Chrome que la fiche NVD note 9,6 sur 10 et qui peut permettre à un attaquant à distance de prendre le contrôle d’un poste à partir d’une simple page Web. La parade tient en une phrase: vérifier que chaque poste de l’entreprise utilise Chrome 157.0.8103.50 ou plus récent.
C’est quoi ?
Un défaut dans le navigateur Chrome qui laisse une page Web piégée sortir de la zone fermée où le navigateur devrait la garder, et agir sur l’ordinateur.
Normalement, un navigateur isole chaque page Web dans un espace cloisonné appelé bac à sable. C’est le principe du cabanon au fond de la cour: ce qui s’y passe ne rentre pas dans la maison. La vulnérabilité CVE-2026-125347 est une autorisation mal vérifiée: la porte entre le cabanon et la maison se laisse ouvrir. Selon la fiche NVD, l’attaque exige que la personne soit amenée à ouvrir elle même une page préparée pour l’occasion, par exemple par un courriel convaincant.
Pourquoi c’est grave ?
Parce qu’un seul clic malheureux d’un employé peut suffire à donner la main sur son poste, avec les documents et les accès qui s’y trouvent.
La fiche NVD est la notice publiée dans la base de référence du NIST, qui recense les vulnérabilités connues. Elle porte ici un score CVSS 3.1 de 9,6 sur 10 établi par l’organisme déclarant (CNA), sur un barème de gravité qui va de 0 à 10. La même fiche reprend la classification « élevée » du projet Chromium. Aucune exploitation n’est signalée à ce jour dans cette fiche. Nous n’en déduisons pas que le risque est moindre: la vulnérabilité est décrite publiquement et le correctif existe. Un poste pris en main peut interrompre le travail d’une équipe, exposer des renseignements de clients, ou servir à préparer une fraude au virement depuis une boîte de courriel.
Ça touche qui ?
Toutes les versions de Google Chrome antérieures à 157.0.8103.50, sur l’ensemble des postes où ce navigateur est installé.
Le produit visé est Chrome, édité par Google. Les versions touchées sont celles antérieures à 157.0.8103.50; cette version et les suivantes contiennent la correction. La fiche NVD ne précise pas quels systèmes d’exploitation sont concernés: dans le doute, traitez tous vos postes équipés de Chrome. Le garage, la clinique ou le cabinet comptable sont ici dans la même situation que la grande entreprise.
Comment vérifier dans mon entreprise ?
On relève le numéro de version de Chrome sur chaque poste, puis on s’assure que les correctifs s’installent sans intervention.
- Faire relever la version installée sur chaque poste, par le menu Aide puis « À propos de Google Chrome ». Confirmer qu’elle est 157.0.8103.50 ou plus récente (prestataire informatique ou responsable du parc).
- Activer l’installation automatique des correctifs du navigateur (prestataire informatique).
- Recenser les postes oubliés: portable d’un employé en congé, ordinateur de la réception, machine d’un ancien employé encore branchée au réseau. Les corriger ou les retirer du réseau (direction et prestataire informatique).
Mise en situation
Exemple fictif: une clinique dentaire de région n’a pas appliqué le correctif sur le poste de la réception.
Un matin, la réceptionniste reçoit un courriel qui ressemble à une relance de facture et clique sur le lien. En fin d’avant midi, le logiciel de rendez vous ne répond plus et les dossiers des patients ne s’ouvrent pas. La clinique passe la journée au téléphone, le prestataire reconstruit le poste, et la direction se demande si des renseignements de patients sont sortis. Le correctif, lui, était disponible depuis des jours.
Ce qu’une faille Chrome comme celle là change pour une organisation d’ici
Pour une PME québécoise, l’enjeu n’est pas le navigateur: c’est le délai entre la publication d’un correctif et son installation. Le Centre canadien pour la cybersécurité place l’application rapide des correctifs parmi ses contrôles de base. Au Québec, la loi exige de tenir un registre des incidents de confidentialité. L’avis à la Commission d’accès à l’information est requis lorsqu’un tel incident présente un risque de préjudice sérieux: la publication d’une vulnérabilité ne déclenche à elle seule aucune de ces obligations.
Quoi faire maintenant
- Demander aujourd’hui à votre prestataire la liste des postes et leur version de Chrome.
- Déployer la version 157.0.8103.50 ou plus récente partout, en commençant par les postes qui touchent aux dossiers clients et aux paiements.
- Activer l’installation automatique des correctifs, puis vérifier deux semaines plus tard qu’elle a bien fonctionné.
- Prévenir les équipes en une courte note: un lien inattendu se vérifie par téléphone avant d’être ouvert.
- Noter qui, chez vous, est responsable d’appliquer les correctifs. Sans nom, la tâche n’existe pas.
FAQ
Faut il cesser d’utiliser Chrome ?
Non. La fiche NVD indique que la correction est livrée dans la version 157.0.8103.50. Le geste utile n’est pas de changer de navigateur, mais de confirmer que cette version est installée partout, y compris sur les portables rarement allumés.
Personne ne nous a attaqués: est ce vraiment urgent ?
La fiche NVD ne signale aucune exploitation à ce jour. Cela ne permet pas de conclure que le risque est faible: la vulnérabilité est décrite publiquement et le correctif est disponible. Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro; appliquer un correctif existant reste l’un des gestes les plus simples.
Sommes nous trop petits pour intéresser quelqu’un ?
Ce type de problème ne cible personne en particulier: il dépend de la version installée sur le poste, pas de la notoriété de l’entreprise. Une page piégée agit sur le poste du commerce de quartier comme sur celui de l’usine.
Sources
- Fiche CVE-2026-125347 de la National Vulnerability Database · NIST, 10 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-125347
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
