CVE-2026-125350 — Chrome : faille Use-After-Free dans le composant XML permettant l’exécution de code
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-125350 — Chrome
Google Chrome avant la version 157.0.8103.50 contient une faille Use-After-Free dans le composant XML permettant à un attaquant distant d'exécuter du code arbitraire dans le bac à sable via une page HTML spécialement élaborée. Cette faille est inscrite au catalogue CISA KEV depuis le 10 novembre 2026 et fait l'objet d'une exploitation connue.
- Éditeur
- Produit
- Chrome
- Publication
- 10/11/2026
- Gravité
- Non évaluée
- Exploitation connue — CISA KEV
La faille
Une faille Use-After-Free dans le composant XML de Chrome permet à un attaquant distant d'exécuter du code arbitraire dans le bac à sable en visitant une page HTML spécialement élaborée.
Ce qu'elle permet à un attaquant
- L'exploitation permet à un attaquant distant d'exécuter du code arbitraire confiné dans le bac à sable du navigateur.
Qui est concerné
Google Chrome antérieures à la version 157.0.8103.50 sont affectées ; cette faille affecte également les navigateurs basés sur Chromium comme Microsoft Edge et Opera.
| Produit | Versions |
|---|---|
| Google Chrome | 157.0.8103.50 → < 157.0.8103.50 |
État de l'exploitation
Cette faille est inscrite au catalogue CISA Known Exploited Vulnerabilities depuis le 10 novembre 2026, confirmant une exploitation connue en conditions réelles.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Appliquez les atténuations conformément aux instructions du fournisseur en respectant les directives de la CISA BOD 26-04 Prioritizing Security Updates Based on Risk.
- Mettez à jour Chrome à la version 157.0.8103.50 ou ultérieure.
Termes utiles
- Use-After-Free
- Faille mémoire où le code tente d'accéder à une zone mémoire libérée, pouvant permettre l'exécution de code arbitraire ou l'accès à des données sensibles.
- Bac à sable
- Environnement d'exécution isolé qui restreint les capacités d'un processus compromis, limitant l'accès au système d'exploitation sous-jacent et aux autres processus.
- KEV
- Catalogue CISA Known Exploited Vulnerabilities listant les failles ayant une preuve d'exploitation documentée en conditions réelles.