Si vous utilisez Firefox ou Chrome, installez la dernière version maintenant : les deux navigateurs viennent de corriger un lot de failles, et une étude publiée le 29 octobre montre qu’un correctif rendu public peut servir de piste aux attaquants avant même d’atteindre votre ordinateur.
- Firefox 159, sorti le 27 octobre, corrige 167 vulnérabilités, dont 108 de gravité élevée.
- Chrome 156.0.8078.79 apporte 21 correctifs de sécurité, déployés progressivement.
- Epoch AI a fait compromettre six versions de Firefox par un modèle d’IA en accès libre, en laboratoire.
- Un VPN ne remplace pas ces mises à jour : il protège la connexion, pas le navigateur.
Les points :
Que corrigent ces deux mises à jour ? #
Du côté de Mozilla, le bulletin de sécurité de Firefox 159 recense 167 identifiants CVE : 108 de gravité élevée, 52 modérée et 7 faible. Aucun n’y porte la mention critique. On y trouve surtout des erreurs de gestion de la mémoire, ainsi que des évasions du bac à sable, cette zone censée isoler les pages web du reste du système.
À lire Navigation privée sur Mac : Safari, Chrome et Firefox
Ce chiffre impressionnant demande une précision. Mozilla indique avoir changé sa façon de publier : les bugs de mémoire repérés en interne ne sont plus regroupés sous un seul identifiant, chacun reçoit désormais le sien. Comparer ce total à celui d’anciennes versions n’aurait donc pas beaucoup de sens.
Chez Google, le bulletin du 29 octobre annonce 21 correctifs pour la version 156.0.8078.79 sur Linux, et 156.0.8078.79/.80 sur Windows et Mac. L’une des failles, CVE-2026-76024, est classée critique. Google précise que le déploiement s’étale sur plusieurs jours ou semaines : votre navigateur n’a donc peut-être pas encore reçu cette version.
Pourquoi l’étude d’Epoch AI change-t-elle l’urgence ? #
Elle porte sur le patch gap, le délai entre la publication d’un correctif et son arrivée chez les utilisateurs. Les projets open source publient leur code. Une correction peut donc être lisible avant la sortie de la version stable, et elle signale alors l’endroit où se trouve le problème.
Epoch AI a testé GLM 5.3, un modèle à poids ouverts publié par Z.ai en août 2026, sur ce scénario. Les chercheurs lui demandaient de créer une page web capable de lire un fichier sur l’ordinateur d’un visiteur de Firefox. Le test s’est déroulé hors ligne, sur un environnement préparé, et le modèle a réussi contre les six versions sorties du 17 septembre au 26 octobre.
À lire Google navigation privée : ouvrir et utiliser le mode Incognito
La tentative la plus rapide a pris 12 heures, pour un coût évalué à environ 1 000 dollars d’API par version attaquée. La simple visite de la page suffisait alors à accéder au fichier.
Faut-il s’inquiéter en tant qu’utilisateur ? #
Il faut lire ce résultat avec ses limites. Il s’agit d’une expérience de laboratoire, et Epoch AI ne décrit pas d’attaque contre de vrais internautes. Les chercheurs ont signalé à Mozilla la faille non publique utilisée par le modèle, et Firefox 159 la corrige. Ils précisent aussi qu’ils ne sont pas parvenus au même résultat sur Chrome, sans en conclure que c’est impossible.
Le message retenu par les auteurs reste net : « it should be assumed that once a vulnerability fix is in published code, attackers can and will use it », soit, en français, qu’il faut partir du principe que les attaquants utiliseront un correctif dès qu’il figure dans du code publié. Ils notent que Firefox et Chrome ont commencé à publier des mises à jour chaque semaine.
Un VPN aurait-il protégé contre ce type d’attaque ? #
Non, et c’est le point à retenir pour qui compte sur son VPN pour être tranquille. Un VPN chiffre le trajet entre votre appareil et son serveur, et masque votre adresse IP aux sites visités. Si une page exploite une faille du navigateur, elle s’exécute sur votre machine après ce trajet : le tunnel chiffré ne la bloque pas.
À lire Les sites web peuvent garder la trace de votre navigation en déposant des cookies
Le scénario testé par Epoch AI l’illustre : seule la visite de la page déclenchait la lecture du fichier. Les chercheurs jugent d’ailleurs ce type d’attaque très grave, parce qu’il pourrait servir à lire les mots de passe enregistrés dans le navigateur ou à voler des cookies de connexion. Notre conseil est donc de considérer le VPN et la mise à jour comme deux protections distinctes, sans que l’une dispense de l’autre.
Comment vérifier sa version en une minute ? #
Sur Chrome, l’aide de Google indique le chemin : menu Plus, puis Aide, puis À propos de Google Chrome. Sélectionnez ensuite Relancer si l’option apparaît. Si elle n’apparaît pas, vous utilisez la dernière version disponible pour votre poste.
Sur Firefox, l’aide de Mozilla indique un chemin proche : menu, puis Aide, puis À propos de Firefox. La fenêtre recherche la mise à jour, puis propose de redémarrer. Vérifiez que le numéro affiché est bien 159 ou plus.
Sous Linux ou depuis le Microsoft Store, la mise à jour passe en général par le gestionnaire de paquets ou le Store. Ceux qui utilisent la version longue durée doivent viser Firefox ESR 153.6. Thunderbird, le logiciel de messagerie de Mozilla, a également reçu ses propres correctifs de sécurité le 27 octobre.
À lire Navigateur internet Google Chrome : ce qu’il faut savoir
Questions fréquentes #
Firefox 159 corrige-t-il la faille utilisée par Epoch AI ?
Oui pour la faille non publique signalée par les chercheurs. Ils n’ont pas encore vérifié si des attaques comparables peuvent réussir sur cette version, mais pensent que le correctif les rend nettement plus difficiles.
Mon VPN me protège-t-il des failles du navigateur ?
Non. Il chiffre le trafic et masque l’adresse IP, mais il ne corrige pas un défaut du logiciel. Seule la mise à jour du navigateur traite le problème à la source.
Pourquoi Chrome n’a-t-il pas encore proposé la mise à jour ?
Google déploie sa version stable sur plusieurs jours ou semaines. Ouvrir la page À propos de Google Chrome permet de vérifier votre version et, si elle est disponible, de lancer la mise à jour.
À lire Navigateur web : exemples, définition et liste complète
