Chrome subit son 4e zero-day de 2026 — et la surface d’attaque WebGPU devient le nouveau terrain de chasse

Janvier 2026. Premier zero-day Chrome de l’année, dans le moteur de rendu CSS.

Février 2026. Deuxième zero-day, dans la bibliothèque graphique Skia.

Mars 2026. Troisième zero-day, dans le moteur JavaScript V8.

31 mars 2026. Google publie un correctif d’urgence pour CVE-2026-5281 — un use-after-free dans Dawn, l’implémentation WebGPU de Chromium. Le bulletin officiel confirme que le bug est déjà exploité dans la nature. La CISA l’ajoute au catalogue KEV le lendemain avec une date butoir au 15 avril pour les agences fédérales.

Quatre zero-days en quatre mois, quatre composants différents. Ce n’est pas une coïncidence. Les attaquants ne scannent plus le pare-chocs avant de Chrome — ils sondent chaque sous-système comme une surface d’attaque indépendante. Et WebGPU, la passerelle bas niveau vers le GPU, est en train de devenir leur nouveau terrain de chasse préféré.

Ce que corrige CVE-2026-5281

CVE-2026-5281 est une vulnérabilité de type use-after-free (CWE-416) dans Dawn, la bibliothèque open-source qui implémente WebGPU dans Chromium et tous les navigateurs basés sur Chromium. La description du NVD est précise : un attaquant distant ayant déjà compromis le processus de rendu (renderer) peut exécuter du code arbitraire via une page HTML spécialement conçue.

Le bug se situe dans la gestion mémoire des buffers GPU. Dawn alloue et libère des régions mémoire pour les pipelines graphiques, les shaders WGSL et les transferts de textures. Quand le navigateur libère un buffer que Dawn continue de référencer, l’attaquant peut placer ses propres données dans l’espace libéré et détourner le flux d’exécution.

La même mise à jour corrige 21 vulnérabilités au total — dont deux autres use-after-free dans Dawn (CVE-2026-5284 et CVE-2026-5286). Trois bugs de corruption mémoire dans le même composant, dans le même cycle de correctif. Pour un défenseur, ce n’est pas du bruit : c’est un signal de densité de risque.

Les versions corrigées :

• Windows et macOS : 146.0.7680.177 ou 146.0.7680.178
• Linux : 146.0.7680.177

La CISA a émis une directive opérationnelle contraignante (BOD 22-01) exigeant le déploiement du correctif sous 15 jours pour toutes les agences FCEB. Le bug a été signalé par un chercheur pseudonyme, 86ac1f1587b71893ed2ad792cd7dde32, déjà connu pour plusieurs divulgations critiques dans Chrome.

WebGPU : la nouvelle surface d’attaque de Chrome

Pour comprendre pourquoi CVE-2026-5281 n’est pas un incident isolé, il faut regarder ce que fait WebGPU.

WebGPU est l’API graphique bas niveau du navigateur, successeur de WebGL. Contrairement à son prédécesseur — conçu pour le rendu 3D dans le navigateur — WebGPU expose un accès quasi direct au GPU : pipelines de calcul, shaders compilés en SPIR-V ou WGSL, transferts mémoires explicites entre CPU et GPU. Là où WebGL laissait le navigateur gérer la mémoire, WebGPU donne ce contrôle au développeur. Et donc, potentiellement, à l’attaquant.

Chaque appel WebGPU traverse une chaîne logicielle complexe :

1. Le processus de rendu (sandboxé) traite le JavaScript et génère les commandes GPU
2. Dawn traduit ces commandes en appels natifs
3. Le processus GPU (hors sandbox, souvent avec des privilèges élevés) exécute sur le matériel via Vulkan, Metal, D3D12 ou OpenGL

Un bug dans Dawn n’est donc pas un simple crash graphique. Il se situe à la frontière entre le sandbox du renderer et le processus GPU — l’équivalent d’un mur qu’on croyait étanche et qui commence à fuir. Chromium lui-même a documenté WebGPU comme une surface d’attaque prioritaire dans ses propres recherches de sécurité.

Ce n’est pas un hasard si trois des 21 CVE corrigés dans cette mise à jour touchent Dawn. La bibliothèque est jeune, complexe, écrite majoritairement en C++, et gère de la mémoire partagée entre processus. Le profil parfait pour les bugs de corruption mémoire.

Quatre zero-days en quatre mois : le pattern

La série 2026 raconte une histoire que les chiffres bruts ne montrent pas. Regardons les composants touchés :

• Janvier : bug dans le moteur CSS — la couche de rendu visuel
• Février : bug dans Skia — la bibliothèque graphique 2D
• Mars : bug dans V8 — le moteur JavaScript et WebAssembly
• Avril : bug dans Dawn — l’implémentation WebGPU

CSS, Skia, V8, Dawn. Quatre sous-systèmes différents, quatre classes de vulnérabilité distinctes, quatre équipes d’exploitation probablement distinctes. Chrome n’est plus attaqué comme un navigateur — il est attaqué comme une plateforme applicative complète. Chaque API, chaque moteur de rendu, chaque couche de traduction est un point d’entrée potentiel.

Le pattern est d’autant plus préoccupant que WebGPU ajoute une dimension que les autres composants n’ont pas : l’accès au GPU. Sur une machine compromise, le processus GPU n’est pas sandboxé de la même manière que le renderer. Dans certaines configurations, il tourne avec des privilèges élevés. Un use-after-free dans Dawn qui permet de sortir du sandbox renderer vers le processus GPU, c’est un saut de privilège qui peut mener jusqu’au noyau.

Le chercheur derrière le signalement, 86ac1f1587b71893ed2ad792cd7dde32, opère sous pseudonyme et a déjà signalé plusieurs vulnérabilités critiques dans Chrome. Aucun groupe APT spécifique n’a été publiquement attribué à l’exploitation de CVE-2026-5281, mais l’historique des zero-days Chrome ne laisse pas de place au doute : c’est le territoire des acteurs étatiques et des courtiers en exploits. Le bug a été exploité avant la publication du correctif. Il n’y a pas de PoC public. Tout indique une exploitation ciblée, pas une campagne de masse.

Ce que ça change pour les défenseurs

La correction de CVE-2026-5281 est simple techniquement : mettre à jour Chrome et redémarrer le navigateur. Ce qui est moins simple, c’est ce que cette série de zero-days implique pour la posture de sécurité des organisations.

Les quatre zero-days de 2026 ont touché des composants que la plupart des équipes de sécurité ne surveillent pas. Personne n’a d’alerte sur l’état du sandbox CSS de Chrome. Personne ne versionne séparément le correctif Dawn dans son inventaire logiciel.

Voici ce qui doit changer :

• La version de Chrome doit être vérifiée au runtime, pas au déploiement. Un navigateur « installé en version 146.0.7680.178 » mais jamais redémarré est vulnérable. Le binaire en mémoire est celui qui compte.
• Les navigateurs basés sur Chromium ne se mettent pas à jour au même rythme. Microsoft Edge, Brave, Vivaldi, Opera héritent du code de Dawn mais publient leurs correctifs avec un décalage. Votre politique de mise à jour doit couvrir chaque navigateur Chromium déployé, pas seulement Chrome.
• WebGPU est une surface qui va continuer de produire des bugs. La complexité de Dawn — bindings multi-plateformes, gestion mémoire partagée, compilation de shaders en ligne — garantit que d’autres vulnérabilités de corruption mémoire seront découvertes. Si vous n’avez pas besoin de WebGPU dans votre environnement, désactivez-le (chrome://flags/#enable-unsafe-webgpu).
• Les délais de patch ne sont pas négociables. La CISA donne 15 jours aux agences fédérales. Pour une organisation privée, tout délai supérieur à 48 heures pour un zero-day Chrome exploité est un risque calculé — et le calcul est rarement en faveur du retardataire.

Pour vérifier l’état de votre parc :

# Vérification locale (Linux)
google-chrome --version 2>/dev/null || google-chrome-stable --version

# La version doit être ≥ 146.0.7680.177

Les navigateurs qui traînent en version 146.0.7680.176 ou antérieure sont vulnérables. L’écart entre la version installée et la version en cours d’exécution — parce que l’utilisateur n’a pas redémarré — est la cause numéro un des compromissions dans ce type d’incident.

Le verdict

CVE-2026-5281 n’est pas le zero-day Chrome le plus critique de 2026. La précondition — compromission préalable du processus de rendu — en fait un maillon de chaîne d’exploitation plutôt qu’une arme autonome. Mais c’est précisément cette position qui le rend dangereux.

Un bug de corruption mémoire dans Dawn ne sert pas à l’accès initial. Il sert à franchir les frontières de sécurité une fois que l’attaquant est déjà entré dans le sandbox du renderer. C’est le genre de bug que les courtiers en exploits valorisent le plus : celui qui transforme une compromission partielle en compromission complète de la machine.

Le vrai signal, c’est la série. CSS, Skia, V8, Dawn. Quatre composants, quatre mois, quatre zero-days exploités. Chrome n’est plus un produit — c’est un système d’exploitation qui tourne dans une fenêtre. Et comme tout OS moderne, il a désormais sa propre surface d’attaque GPU.

Si vous gérez un parc de navigateurs, votre règle pour 2026 doit être celle-ci : un zero-day Chrome exploité dans la nature se corrige en 48 heures maximum sur tous les postes. Pas au prochain cycle de patch. Pas après validation. Pas quand l’utilisateur aura le temps de redémarrer. Immédiatement. Parce que le prochain ne touchera peut-être pas Dawn — mais il touchera quelque chose, et il arrivera probablement le mois prochain.

Références

• Stable Channel Update for Desktop — March 31, 2026, Chrome Releases, 31 mars 2026.
• CVE-2026-5281, National Vulnerability Database, 1er avril 2026.
• CISA Adds One Known Exploited Vulnerability to Catalog — CVE-2026-5281, CISA, 1er avril 2026.
• New Chrome Zero-Day CVE-2026-5281 Under Active Exploitation — Patch Released, The Hacker News, Ravie Lakshmanan, 1er avril 2026.
• Chrome’s fourth zero-day of 2026 reveals a bigger browser security problem, PCQuest, Harsh Sharma, 1er avril 2026.
• CVE-2026-5281, What Chrome’s Dawn Zero-Day Actually Means, Penligent, 3 avril 2026.
• CVE-2026-5281 — Chrome Dawn WebGPU Use-After-Free, TheMalwareGuardian (GitHub), archivé le 7 avril 2026.
• Dawn Source Repository, Chromium.
• WebGPU Specification, W3C.