CVE-2026-85046 : une évasion du bac à sable Chromium exploitée

Ce dont nous disposons

La vulnérabilité est référencée sous l’identifiant CVE-2026-85046 dans la base NVD du NIST. Elle a été relayée le 4 septembre 2026 en fin de soirée sur Hacker News, où le fil de discussion a rassemblé 358 points et 203 commentaires — un niveau d’attention qui, sur ce site, correspond aux failles jugées structurantes par les praticiens.

Nous devons ici être explicites sur nos limites : à l’heure où nous écrivons, notre seule source est cette fiche NVD et le fil qui la relaie. Nous n’avons pas pu recouper la vulnérabilité auprès d’une seconde source indépendante. Tout ce qui suit sur la nature de la faille est donc rapporté au conditionnel, et vous devez considérer la fiche NVD elle-même comme la référence à consulter en priorité.

Une évasion de bac à sable, et pourquoi c’est une catégorie à part

La faille serait une évasion de bac à sable — un sandbox escape — affectant Chromium. C’est la catégorie de vulnérabilité que les équipes navigateur redoutent le plus, pour une raison d’architecture.

Un navigateur moderne part du principe que le code qu’il exécute est hostile : chaque page tourne dans un processus isolé, privé d’accès direct au système de fichiers, aux périphériques et aux autres onglets. Ce cloisonnement est la dernière ligne de défense. Une faille dans le moteur de rendu, seule, reste confinée. Une évasion de bac à sable, elle, fait tomber la barrière : le code d’une page atteint alors le système avec les droits du processus qui l’héberge. Ces failles sont rarement autonomes, elles se combinent en chaîne, et c’est ce qui les rend précieuses pour un attaquant.

La fiche indiquerait par ailleurs une exploitation déjà constatée. Si cette information est confirmée, la fenêtre entre publication et correctif n’existe pas : elle est déjà refermée du mauvais côté.

Le périmètre réel : bien au-delà de Chrome

Chromium n’est pas seulement Chrome. C’est le socle d’une grande partie des navigateurs de bureau et mobiles, et surtout celui d’Electron, le cadre qui embarque un navigateur complet dans une application de bureau. Messageries d’entreprise, éditeurs de code, clients de visioconférence, outils internes : beaucoup transportent leur propre copie du moteur.

C’est ce second groupe qui pose problème. Un navigateur se met à jour tout seul, souvent en quelques jours. Une application Electron dépend du rythme de son éditeur, qui doit intégrer la nouvelle version du moteur, retester, puis publier. Le décalage se compte en semaines, parfois davantage. À l’échelle d’un parc, la surface exposée survit largement au correctif du navigateur.

Ce que vous pouvez faire dès maintenant

Redémarrez vos navigateurs : une mise à jour téléchargée ne s’applique qu’au relancement, et un poste laissé ouvert plusieurs jours reste sur l’ancienne version. Recensez ensuite vos applications Electron, qui ne sont visibles dans aucun tableau de bord de mise à jour navigateur. Et surveillez la fiche NVD, qui reste la source à consulter à mesure que les éditeurs publieront leurs correctifs.

Nous mettrons cet article à jour dès qu’une seconde source permettra de confirmer le périmètre exact des versions touchées. En attendant, l’information disponible suffit à justifier un redémarrage.