Google publie une mise à jour urgente de Chrome pour contrer l'espionnage

Google propose une version actualisée de son navigateur Chrome après avoir corrigé une grave faille de sécurité exploitée à des fins d'espionnage.

« Le canal Stable a été mis à jour vers 134.0.6998.177/.178 pour Windows qui sera déployé dans les jours/semaines à venir », écrit Srinivas Sista sur le blog Google Chrome Releases. [...] Cette mise à jour inclut un correctif de sécurité ».

À première vue, il s'agit d'une simple mise à jour de maintenance. Cependant, l'unique correctif de sécurité contenu dans l'avis est, en fait, suffisamment sérieux pour mériter l'attention de tous.

Une vulnérabilité à haut risque

La faille, répertoriée sous le nom de CVE-2025-2783 et considérée comme un problème à haut risque, est décrite comme une « poignée incorrecte fournie dans des circonstances non spécifiées dans Mojo sur Windows ».

« Google a eu connaissance de rapports indiquant qu'un programme d'exploitation pour CVE-2025-2783 existe dans la nature », précise l'avis.

Mojo est un ensemble de bibliothèques d'exécution facilitant le passage de messages à travers des frontières arbitraires entre et à l'intérieur des processus, selon la documentation du projet Chromium.

Comme c'est traditionnellement le cas pour les bogues exploités, Google garde les détails techniques secrets jusqu'à ce que la plupart des utilisateurs soient mis à jour avec un correctif. Toutefois, les personnes qui ont découvert et signalé le problème à Google ne cachent pas sa gravité.

Exploit prétendument utilisé à des fins d'espionnage

Google attribue à Boris Larin et Igor Kuznetsov de Kaspersky le mérite d'avoir signalé le problème au géant du web il y a environ une semaine.

Le duo révèle dans un billet de blog que le problème a été exploité dans des attaques de logiciels malveillants « sophistiqués », probablement utilisés à des fins d'espionnage.

« Nos recherches sont toujours en cours, mais à en juger par la fonctionnalité des logiciels malveillants sophistiqués utilisés dans l'attaque, il semble que l'objectif des attaquants était l'espionnage », écrivent Kuznetsov et Larin. Les courriels malveillants contenaient des invitations censées provenir des organisateurs d'un forum scientifique et d'experts, « Primakov Readings », ciblant les médias et les établissements d'enseignement en Russie.

En se basant sur le contenu des courriels d'hameçonnage, les chercheurs ont baptisé la campagne « Opération ForumTroll ».

Selon le rapport, l'infection s'est produite immédiatement après que les victimes ont accédé aux liens contaminés à partir d'un navigateur Chrome non corrigé, sans qu'aucune autre action ne soit nécessaire pour être infecté.

Les chercheurs ont trouvé l'exploit particulièrement intéressant car il a permis aux attaquants de « contourner la protection sandbox de Google Chrome comme si elle n'existait pas », [tout] « sans faire quoi que ce soit de manifestement malveillant ou interdit ».

Deuxième faille « jour zéro » de l'année

Cette version marque le deuxième correctif « zero-day » pour Chrome cette année, suite à des rapports indiquant que des pirates exploitaient activement une faille de sécurité du GPU dans la version macOS de Chrome.

Cette faille, signalée à l'équipe SEAR (Security Engineering and Architecture Team) d'Apple le 5 mars, est l'une des principales vulnérabilités corrigées par l'entreprise technologique de Cupertino dans son propre écosystème, avec un niveau de risque élevé similaire.

Mettez à jour votre navigateur Chrome !

Si vous utilisez Chrome sous Windows, nous vous recommandons de faire de cette mise à jour une priorité. Les acteurs de la menace sont connus pour utiliser ces vulnérabilités dans diverses campagnes, y compris dans des attaques par spyware.

Même si vous ne vous considérez pas comme une cible, Bitdefender vous recommande de déployer les dernières mises à jour pour tous vos appareils personnels dès qu'elles sont disponibles - en particulier lorsque l'éditeur indique que les problèmes traités sont potentiellement exploités dans la nature.

À partir d'aujourd'hui, les utilisateurs de Chrome sous Windows devront utiliser la version 134.0.6998.178 pour s'assurer que leur navigateur est protégé contre d'autres campagnes malveillantes potentielles exploitant cette faille - maintenant que le chat est sorti du sac.

Chrome est programmé pour vérifier la dernière version à chaque redémarrage. Si vous n'avez pas fermé Chrome depuis un certain temps, vous pouvez lancer le processus manuellement. Rendez-vous dans le menu d'options à trois points, choisissez Paramètres -> À propos de Chrome et laissez le navigateur aller chercher la dernière version sur les serveurs de Google. Lorsque vous y êtes invité, relancez Chrome.

Pour une plus grande tranquillité d'esprit, envisagez de mettre en place une solution de sécurité dédiée sur tous vos appareils personnels.