Chrome en danger : une faille critique menace la sécurité de milliards d’utilisateurs

Google a déployé un correctif en urgence, mais les experts appellent à la vigilance.

La sécurité des navigateurs web, pourtant régulièrement renforcée, vient une nouvelle fois d’être mise à mal. Selon plusieurs experts en cybersécurité, une vulnérabilité critique découverte dans les navigateurs Chrome et Chromium permet à des cybercriminels de dérober des données sensibles en exploitant un contournement de la politique « referrer-policy ».

Le cœur du problème : le navigateur, dans certaines versions, ne gère pas correctement les en-têtes HTTP lorsqu’ils contiennent des directives liées à la confidentialité des liens. Résultat : des informations confidentielles – comme les identifiants de session, les tokens d’authentification ou les URLs contenant des paramètres sensibles – peuvent être transmises à des serveurs tiers sans que l’utilisateur en ait conscience.

La faille, repérée par le chercheur Vsevolod Kokorin et rendue publique début mai, a été rapidement ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de la CISA, signalant qu’elle était activement exploitée.

Systèmes concernés et correctifs

Les navigateurs concernés incluent :

• Google Chrome avant la version 136.0.7103.113 sur Windows,
• Chromium avant 120.0.6099.224 sur Debian Linux,
• Chrome/Chromium sur Gentoo Linux, également vulnérables avant mise à jour.

Google a d’ores et déjà publié un correctif pour les utilisateurs de Windows et Gentoo. En revanche, les utilisateurs de Debian 11 Linux sont invités à désinstaller temporairement Chromium, faute de correctif immédiat.

« Nous recommandons vivement de mettre à jour Chrome sans attendre et d’envisager l’installation d’un pare-feu ou d’un antivirus capable de détecter les fuites de données », indique l’équipe sécurité de Wazuh, qui propose également un module de détection de cette faille.

Comment se protéger ?

Outre la mise à jour vers la dernière version de Chrome, les utilisateurs peuvent :

• surveiller leur trafic réseau pour repérer d’éventuels comportements anormaux,
• désactiver temporairement les chargements automatiques d’éléments externes (comme les images ou scripts tiers),
• installer des extensions de sécurité fiables,
• consulter les journaux de sécurité avec un outil comme Wazuh.

Ce nouvel incident pose une fois de plus la question de la robustesse des politiques de confidentialité intégrées aux navigateurs. 

La rapidité de l’exploitation par des hackers démontre aussi la course permanente entre développeurs et attaquants dans la protection des données.