Correctifs Google Chrome 156 : CVE-2026-76024 et cinq failles critiques, version à installer

La réponse courte : Google a publié le 27 octobre 2026 puis le 29 octobre 2026 deux mises à jour de Chrome 156 pour ordinateur. Elles corrigent 52 puis 21 failles de sécurité, dont cinq classées critiques par Google, parmi lesquelles CVE-2026-76024 (corruption mémoire dans MediaStream). Le maCERT de la DGSSI a publié le 30 octobre le bulletin 70283010/26, avec un niveau de risque « important ». Google ne signale aucune exploitation active. Il faut passer Chrome en 156.0.8078.79 (ou .80) et Microsoft Edge en 156.0.4314.58, puis vérifier que les navigateurs ont bien redémarré.

Le navigateur est l’application la plus exposée d’un poste de travail : il ouvre chaque jour des sites, des pièces jointes et des liens reçus par e-mail. Dans les entreprises au Maroc, Chrome et Edge sont présents sur presque tous les postes, et un navigateur qui reste ouvert des jours entiers n’applique pas ses mises à jour. Voici ce que disent Google, Microsoft et le maCERT, et ce qu’il faut faire.

Ce qui est corrigé

Les deux notes de version publiées sur le blog Chrome Releases listent les failles corrigées et leur gravité selon Google. Les cinq failles critiques sont les suivantes :

• CVE-2026-76024 : corruption mémoire dans MediaStream (mise à jour du 29 octobre) ;
• CVE-2026-118306 : corruption mémoire dans FileSystem (27 octobre) ;
• CVE-2026-118331 : validation insuffisante des entrées dans FileAPI (27 octobre) ;
• CVE-2026-118348 : validation insuffisante des entrées dans Skia (27 octobre) ;
• CVE-2026-118344 : utilisation de mémoire après libération (use after free) dans Layout (27 octobre).

Les autres failles sont classées de gravité élevée ou moyenne. Elles touchent notamment le moteur JavaScript V8, la bibliothèque graphique Skia, ANGLE, WebRTC, le lecteur PDFium et le système de fichiers du navigateur. Comme à son habitude, Google garde les détails techniques confidentiels tant que la majorité des utilisateurs n’a pas reçu le correctif, et ne publie pas de score CVSS dans ses notes de version.

Le bulletin du maCERT résume l’enjeu : l’exploitation de ces vulnérabilités peut permettre à un attaquant d’exécuter du code à distance, d’accéder à des données confidentielles, de contourner des mesures de sécurité ou de provoquer un déni de service.

Produit	Versions touchées	Version corrigée
Google Chrome pour Windows et Mac	antérieures à 156.0.8078.79/.80	156.0.8078.79/.80
Google Chrome pour Linux	antérieures à 156.0.8078.79	156.0.8078.79
Google Chrome, canal Extended Stable	antérieures à 156.0.8078.79/.80	156.0.8078.79/.80
Microsoft Edge (canal Stable)	antérieures à 156.0.4314.58	156.0.4314.58

La version du 27 octobre (156.0.8078.73/.74) corrigeait déjà les 52 premières failles. Celle du 29 octobre les inclut et en ajoute 21 : c’est elle qu’il faut viser.

Exploitation : ce que l’on sait

• Google : les deux notes de version ne mentionnent aucune exploitation active. Quand une faille est exploitée, Google l’écrit explicitement, ce qui n’est pas le cas ici.
• Catalogue CISA KEV : aucune des cinq failles critiques n’y figure à sa mise à jour du 30 octobre 2026.
• maCERT : le bulletin 70283010/26 du 30 octobre 2026 classe le risque et l’impact au niveau « important » et renvoie au bulletin de Google. Le bulletin 70420211/26 du 2 novembre 2026 vise Microsoft Edge avant la version 156.0.4314.58.

L’absence d’exploitation connue est une raison de traiter le sujet dans le calme, pas de le reporter. Une fois les correctifs publiés, l’écart entre l’ancienne et la nouvelle version du code devient visible, et un parc qui ne se met pas à jour reste exposé.

Microsoft Edge et les autres navigateurs Chromium

Edge partage le moteur Chromium avec Chrome. Microsoft indique avoir publié le 30 octobre 2026 la version Stable 156.0.4314.58, qui intègre les derniers correctifs de sécurité de Chromium, et précise que la liste des CVE sera complétée dans ses notes de sécurité. Les autres navigateurs fondés sur Chromium (Brave, Opera, Vivaldi…) dépendent du calendrier de leur propre éditeur : s’ils sont autorisés sur votre parc, vérifiez leur mise à jour séparément.

Les mesures d’attente

Il n’existe pas de contournement : la mesure efficace est la mise à jour, puis le redémarrage du navigateur. Si certains postes ne peuvent pas être mis à jour tout de suite :

1. Limitez la navigation sur ces postes aux sites nécessaires au travail et faites remonter tout lien suspect.
2. Gardez le filtrage DNS et l’EDR actifs : ils ne corrigent pas la faille, mais bloquent une partie des sites malveillants et des comportements anormaux.
3. Rappelez aux utilisateurs de ne pas ouvrir de pièce jointe ou de lien inattendu, même d’un expéditeur connu.

Les vérifications à faire

• Contrôler la version sur un échantillon de postes : chrome://settings/help pour Chrome, edge://settings/help pour Edge. La page lance aussi la mise à jour si elle est disponible.
• Repérer les navigateurs jamais redémarrés : la mise à jour est téléchargée en arrière-plan, mais ne s’applique qu’à la relance.
• Fixer une règle de redémarrage par stratégie de groupe ou par Intune (stratégies de notification de relance de Chrome et d’Edge), pour que les correctifs s’appliquent sous quelques jours.
• Vérifier que les mises à jour automatiques ne sont pas bloquées par une stratégie ancienne, un proxy ou des droits utilisateur.
• Recenser les navigateurs installés hors du standard de l’entreprise, y compris les versions portables.
• Ne pas oublier les smartphones : Google a aussi publié des mises à jour de Chrome pour Android fin octobre, à pousser via votre outil de gestion des mobiles.

Notre lecture pour les entreprises au Maroc

Les navigateurs reçoivent désormais des correctifs de sécurité presque chaque semaine. Un traitement manuel, poste par poste, ne suit pas ce rythme. La bonne réponse est une politique : mises à jour automatiques actives, redémarrage imposé au bout de quelques jours, et un contrôle mensuel des versions dans le rapport de supervision.

Pour aller plus loin, consultez notre méthode de gestion des correctifs en entreprise, notre guide pour gérer et sécuriser les postes Windows avec Intune, notre article sur le filtrage DNS en entreprise, notre comparatif EDR ou antivirus et notre guide de la gestion des smartphones d’entreprise. Les correctifs Microsoft du mois dernier sont détaillés dans notre alerte sur les correctifs Microsoft d’octobre 2026. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent de traiter les bulletins du maCERT.

Comment nous pouvons vous aider

Nous inventorions les navigateurs de votre parc, vérifions leurs versions, configurons les règles de mise à jour et de redémarrage par stratégie de groupe ou Intune, et ajoutons le contrôle des versions à notre supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : Google, Stable Channel Update for Desktop du 27 octobre 2026, Google, Stable Channel Update for Desktop du 29 octobre 2026, maCERT : bulletin 70283010/26 (Google Chrome), maCERT : bulletin 70420211/26 (Microsoft Edge), Chrome Releases, publications d’octobre 2026 (dont Chrome pour Android), Microsoft, notes de sécurité de Microsoft Edge, catalogue CISA KEV, NVD CVE-2026-76024.