La faille que Google qualifie de moyenne

Le 8 septembre, Google a fait passer Chrome 153 au canal stable pour Windows, Mac et Linux, refermant discrètement le CVE-2026-87491, une écriture hors limites dans V8, le moteur qui exécute chaque script sur chaque page ouverte par un utilisateur de Chrome. Dans ces mêmes notes de version, l'équipe de sécurité de Google elle-même a écrit la phrase qui compte vraiment: "Google a connaissance de l'existence d'un exploit pour le CVE-2026-87491 dans la nature." Une page web spécialement conçue suffit à le déclencher, et une attaque réussie permet à un assaillant d'exécuter du code arbitraire à l'intérieur du bac à sable du navigateur.

Pourtant, dans la colonne de gravité à côté du CVE, le suivi de bugs de Chromium lui-même le classe en moyen. Pas critique, même pas élevé. La chercheuse qui l'a trouvé et signalé, Jihyeon Jeong du Compsec Lab de l'université nationale de Séoul, a reçu une prime de 2 500 dollars, une récompense de niveau moyen qui correspond à l'étiquette moyenne. Rien dans le correctif lui-même ne signale l'urgence. Tout, dans la manière dont la faille était exploitée, le fait.

Pourquoi la CISA n'est pas d'accord avec l'étiquette

L'agence américaine de cybersécurité et de sécurité des infrastructures ne note pas les failles selon leur gravité théorique. Elle tient une seule liste, le catalogue des vulnérabilités activement exploitées, et la seule chose qui fait entrer un CVE sur cette liste est la preuve que quelqu'un l'utilise déjà contre des cibles réelles. Le CVE-2026-87491 figure désormais sur cette liste, classé sous Google, Chromium V8, avec une échéance de correction au 23 septembre 2026, quinze jours après la sortie du correctif.

Ce délai de quinze jours est une obligation pour les agences civiles fédérales américaines, pas une obligation de l'UE, il ne lie donc directement aucun lecteur de Servola. Ce qu'il apporte est plus utile qu'une obligation légale: un second signal indépendant, construit entièrement à partir de preuves d'exploitation et non de la propre notation d'un éditeur, et il est tombé sur une faille que le suivi de Chromium continue d'appeler moyenne. Quand les deux divergent aussi nettement, c'est l'inscription au KEV qui reflète ce qui se passe réellement sur internet en ce moment.

Quatre zero-days, un seul moteur

Le CVE-2026-87491 n'est pas un incident isolé. C'est la septième faille zero-day de Chrome que Google a confirmée comme activement exploitée en 2026, et elle est arrivée seulement quatre jours après la sixième, le CVE-2026-85046, une autre faille de V8 corrigée le 3 septembre. Quatre des sept zero-days confirmés cette année se situent spécifiquement dans V8, le moteur JavaScript et WebAssembly que partagent Chrome, Edge, Opera, Brave et tout autre navigateur basé sur Chromium.

Cette concentration n'est pas un hasard lié à ce qui a été signalé cette année. V8 est l'un des composants du navigateur les plus soumis au fuzzing et les mieux récompensés, ce qui signifie que les attaquants qui trouvent vraiment quelque chose là obtiennent un composant qui tourne sur pratiquement tous les ordinateurs et téléphones de la planète, pas une fonction de niche activée par une fraction des utilisateurs. Quatre impacts dans un seul moteur en neuf mois se lit moins comme de la malchance et davantage comme le signe que les attaquants ont choisi où se trouve le travail le plus rentable.

Ce que cela signifie pour une équipe de sécurité dans l'UE

La plupart des programmes de gestion des vulnérabilités priorisent encore d'abord selon la gravité fixée par l'éditeur, et seulement ensuite, quand c'est vérifié, selon le statut d'exploitation. Cette faille est l'argument contre cet ordre. Une équipe qui corrige immédiatement le critique et l'élevé, et laisse le moyen attendre la prochaine fenêtre de maintenance, aurait laissé le CVE-2026-87491 ouvert pendant des semaines alors qu'il était déjà exploité, parce que l'étiquette disait qu'il pouvait attendre.

Le correctif lui-même ne coûte rien au-delà du cycle de mise à jour habituel: Chrome se met à jour automatiquement vers la version 153.0.8010.36 ou ultérieure sur la plupart des machines gérées et non gérées en quelques jours, et vérifier le numéro de version dans les paramètres de Chrome le confirme. Le changement le plus durable est d'ordre procédural. L'exigence de NIS2 d'une gestion des vulnérabilités à l'état de l'art est plus facile à tenir en injectant directement le flux KEV de la CISA dans une file de priorité de correctifs qu'en faisant confiance à la seule notation d'un éditeur pour capter chaque faille activement exploitée à temps, car ce cas montre que cette notation n'y parvient pas.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-nous de continuer. Suivez-nous, laissez un like ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font avancer.

À lire ensuite: Exploité Des Semaines Avant Que PaperCut Ne Corrige  |  Aucun Régulateur UE Ne Contrôle L'Accès À Astra