Chrome CVE-2026-87491 : combler l’écart entre mise à jour installée et navigateur relancé

Ce que c'est

État au 25 octobre 2026. L’annonce de version de Google pour ordinateur, datée du 8 septembre 2026, mentionne CVE-2026-87491, une écriture hors limites dans V8, et confirme son exploitation dans des attaques réelles. Les versions de sécurité indiquées sont 153.0.8010.36 pour Linux et 153.0.8010.36/.37 pour Windows et Mac. Ce sont les versions correctives documentées, sans présumer qu’il s’agit des dernières versions disponibles du navigateur. Consulter à nouveau les annonces Stable ultérieures et la documentation des règles d’entreprise avant le déploiement ; l’annonce citée n’affiche pas de date de révision distincte.

Pourquoi c'est important

La documentation de mise à jour de Google distingue le téléchargement d’une mise à jour de son application par redémarrage du navigateur. Un parc peut donc avoir distribué le paquet alors que les utilisateurs continuent à naviguer avec un ancien processus. Le paramètre de redémarrage recommandé de Google permet aux utilisateurs de fermer l’invite et de continuer à utiliser cette ancienne version. Un redémarrage obligatoire corrige cet écart opérationnel.

La procédure ci-dessous propose une manière de clôturer la remédiation. Elle s’appuie sur la version affichée par le navigateur, les règles effectives et le résultat du redémarrage ; elle ne déduit pas une compromission d’un numéro de version ou d’un plantage du navigateur.

Comment l'appliquer

• Identifier le navigateur réellement utilisé. Consigner le système d’exploitation, le canal de distribution et la version affichée sous Aide > À propos de Google Chrome. Comparer la version affichée à la version applicable de l’éditeur, puis choisir une version de référence de sécurité actuelle et prise en charge. Distinguer le numéro de version Linux de la paire Windows/Mac.
• Permettre la distribution. Sur les appareils Windows administrés, examiner Google Update > Applications et la règle de l’application Google Chrome. Activer la règle de remplacement de la politique de mise à jour en autorisant les mises à jour. Rechercher un verrouillage sur une version cible qui empêcherait d’atteindre la version de référence de sécurité. Google rappelle que ces verrouillages doivent être temporaires. Les administrateurs Linux doivent distribuer les mises à jour du navigateur via leur gestionnaire de paquets.
• Exiger l’activation. Configurer RelaunchNotification sur le mode obligatoire, valeur 2, et définir RelaunchNotificationPeriod selon le délai approuvé par l’organisation, en millisecondes. Examiner RelaunchWindow conjointement avec ce délai : la planification d’une fenêtre peut repousser l’achèvement. Prévenir les utilisateurs pour qu’ils puissent enregistrer leur travail en cours avant l’application forcée.
• Vérifier la configuration effective. Après le déploiement des règles et le redémarrage, ouvrir chrome://policy, sélectionner Actualiser les règles et examiner RelaunchNotification, RelaunchNotificationPeriod et RelaunchWindow. Google indique que l’état doit être OK et que les valeurs doivent correspondre à la politique prévue. Analyser les règles qui en supplantent d’autres au lieu de supposer que la console d’administration reflète l’état du poste.
• Clôturer avec des preuves de la version en cours d’exécution. Retourner dans À propos de Google Chrome après le redémarrage et consigner la version affichée. Conserver comme exceptions non résolues les appareils dont le téléchargement a échoué, dont le redémarrage est en attente ou dont l’inventaire manque. Attribuer à chaque exception un responsable et une prochaine action corrective.

Pièges

Ne pas considérer une notification de redémarrage comme une preuve que celui-ci a eu lieu. Google précise également que les règles Windows appliquées au niveau de l’ordinateur nécessitent une appartenance à un domaine ou une gestion de l’appareil. La présence d’une règle configurée sur une machine non administrée ne constitue pas une preuve suffisante. Les numéros de version de septembre définissent un seuil historique de correction, pas une autorisation de s’y figer indéfiniment. Cet article ne se prononce pas sur le rang de cette vulnérabilité parmi les zero-days de l’année. Il n’est pas nécessaire de reproduire son exploitation pour vérifier le déploiement.