Exploit de type écriture hors limites découvert pour Google Chrome

Un exemple concret est disponible via un fichier run.html dans Chrome 152.0.7977.75, où l'exploitation réussie affiche « PWNED 2026 » directement depuis le rendu et génère des données RAWNATIVE indiquant un processus exécuté avec un compte-rendu d'écriture de 11 fois. Cependant, les auteurs notent que passer plus loin nécessiterait une élévation de privilèges locale.

Contexte et vérification La publication croise les informations provenant de Sploitus.com et Vulners.com, deux sources spécialisées en sécurité. Sploitus.com rapporte l'existence de l'exploit de preuve de concept couvrant les deux CVE avec un score CVSS de 8.8. Vulners.com détaille davantage les mécanismes techniques, citant un dépôt GitHub (Serotav/Writeups) comme source de base pour la combinaison des vulnérabilités. Ces sources sont indépendantes et convergent sur la nature technique de l'attaque, bien qu'elles diffèrent sur le niveau de détail technique exposé.

Le contexte plus large inclut les mesures de Google concernant la libération régulière de nouvelles versions de Chrome (tous les deux semaines selon Tecnoblog), une stratégie visant à réduire l'exposition aux vulnérabilités. Cette initiative ne modifie pas directement la gravité de l'exploit Chrome mais reflète une approche proactive de gestion des risques face à des menaces telles que celles décrites.

Implications et recommandations Cette vulnérabilité représente une menace significative car elle permet de corrompre la mémoire interne du moteur V8 et d'exécuter du code arbitraire sans les permissions habituelles. Les utilisateurs sont conseillés de se mettre à jour vers les dernières versions de Chrome et d'activer les mises à jour automatiques. Les développeurs doivent également surveiller les applications Android qui exploitent les programmes en accès anticipé de Google Play, comme signalé par SecurityWeek, car ces canaux offrent aux acteurs malveillants des voies pour contourner les revues de sécurité.

En résumé, l'exploit combiné CVE-2026-85046 et CVE-2026-87491 ouvre un chemin d'accès critique dans Google Chrome, démontrant la nécessité continue de mise à jour des navigateurs et de vigilance face aux nouvelles vulnérabilités de type écriture hors limites.