Le 22 octobre 2026, l’autorité de certification indienne eMudhra annonce son retrait du marché mondial des certificats SSL/TLS, cinq jours après qu’un chercheur a retrouvé les clés privées de huit certificats intermédiaires, toutes inférieures à 256. Si votre organisation émet des certificats sous la racine emSign ECC Root CA - G3, vous avez jusqu’au 27 octobre pour basculer vers une autre hiérarchie.

Le déploiement stable de Chrome 154, commencé le 22 septembre 2026, referme 108 failles de sécurité dont 11 critiques, en quasi-totalité des use-after-free et des débordements de tampon dans les couches GPU et de rendu. Aucune n’est confirmée exploitée, mais leur potentiel d’échappement de sandbox en fait une priorité de déploiement immédiate sur tout le parc de navigateurs.

Le 8 septembre 2026, Google publie Chrome 153, qui corrige 230 vulnérabilités dont CVE-2026-87491, une écriture hors limites dans le moteur V8 déjà exploitée dans la nature. Mettez à jour vers 153.0.8010.36 ou supérieur avant l’échéance CISA du 23 septembre et vérifiez tous les navigateurs Chromium de votre parc, Edge, Brave et Opera compris.

Le 4 septembre 2026, Google publie une mise à jour d’urgence de Chrome qui corrige CVE-2026-85046, une confusion de types dans le moteur V8 déjà exploitée dans la nature et notée 8,8 au CVSS. Mettez à jour vers Chrome 152.0.7977.82 ou supérieur et vérifiez tous les navigateurs Chromium de votre parc, Edge, Brave et Opera compris.

Le 3 août 2026, Unit 42 (Palo Alto Networks) a publié trois attaques baptisées Pass-ta-key qui permettent à un malware sur une machine Windows compromise de détourner les passkeys synchronisées via Google Password Manager. La plus grave, Golden Pass-ta-key, extrait la clé maîtresse de chiffrement de la mémoire de Chrome et compromet toutes les passkeys présentes et futures du compte Google.

Le 31 mars 2026, Google a corrigé en urgence CVE-2026-5281, un use-after-free dans Dawn, l’implémentation WebGPU de Chromium, déjà exploité dans la nature. C’est le quatrième zero-day Chrome de 2026 en quatre mois — et le signal que les API graphiques bas niveau sont devenues la nouvelle frontière de l’exploitation navigateur.