CVE-2026-11645 : faille « zero-day » dans Chrome et menace croissante du phishing
Le 17 juin 2026, INTERPOL a publié son „ Rapport d'évaluation des cybermenaces en Asie et dans le Pacifique Sud “, qui fait état d'une nette augmentation du phishing, des ransomwares et des escroqueries basées sur l'IA. Parallèlement, avec CVE-2026-11645 met en lumière une vulnérabilité « zero-day » critique, déjà activement exploitée, dans Google Chrome. Cette faille dans le moteur JavaScript V8 permet aux pirates d'exécuter du code malveillant et, combinée aux techniques d'ingénierie sociale décrites dans le rapport, constitue une menace sérieuse pour les entreprises du monde entier.
Le rapport d'INTERPOL : le phishing, principal vecteur d'attaque
Ce rapport, qui analyse la période allant de janvier 2024 à mars 2025, montre que le phishing et l'ingénierie sociale restent les principales portes d'entrée des cyberattaques. Dans la région Asie-Pacifique, le taux de clics sur des liens de hameçonnage, qui s'élève à 5,5 pour 1 000 personnes, est près de deux fois supérieur à la moyenne mondiale. Ces attaques ouvrent la voie à des incidents plus graves :
pannes du système ont été à l'origine d'environ 80 % des fuites de données survenues en 2024. Dans 83 % de ces cambriolages, logiciel malveillant utilisées, dans 51 cas de type % Ransomware. Attaques DDoS Les mesures ont augmenté de 92 % par rapport à l'année précédente. Discussions sur Deepfakes sur les forums criminels, les transactions ont augmenté de 600 % entre février et juin 2024.
Ces chiffres montrent clairement que les failles techniques ne deviennent souvent dangereuses à grande échelle qu’après un premier contact réussi par hameçonnage.
Contexte technique : CVE-2026-11645
La faille de sécurité dans Google Chrome a déjà été ajoutée le 8 juin 2026 par l'agence américaine CISA à la liste des failles activement exploitées. Elle représente une menace directe pour les terminaux et est d'autant plus dangereuse qu'elle rend les utilisateurs particulièrement vulnérables au phishing.
Vulnérabilité : CVE-2026-11645 Type : Lecture et écriture hors limites dans le moteur JavaScript V8 (CWE-125/CWE-787) Score CVSS : 8.8 (Haut) Conséquence : Même si l'exécution a lieu initialement au sein du bac à sable du navigateur, cette vulnérabilité permet la récupération systématique des cookies de session actifs, des identifiants d'accès et des jetons pour les services cloud et SaaS (par exemple AWS, Microsoft 365, Salesforce). De plus, des chaînes d'exploits permettant de s'échapper de la sandbox risquent d'entraîner la prise de contrôle totale de l'hôte. Versions concernées : (À l'origine) Toutes les versions de Google Chrome antérieures à la version 149.0.7827.103 Statut : Ceci est activement exploité.
Cette exploitation nécessite une interaction de l'utilisateur, comme le fait de cliquer sur un lien contenu dans un e-mail de hameçonnage. C'est là que le lien avec le rapport d'INTERPOL se fait : la forte propension à cliquer sur des liens malveillants crée les conditions idéales pour exploiter efficacement les failles « zero-day » liées au navigateur afin d'obtenir un premier accès.
Mesures de protection recommandées
La mesure d'urgence la plus importante consiste à mettre à jour sans délai toutes les installations de Google Chrome. Google a déjà mis à disposition les mises à jour de sécurité le 8 juin 2026.
Windows et macOS : Version 149.0.7827.102/.103 ou plus récent Linux : Version 149.0.7827.102 ou plus récent
Étant donné que le déploiement de la mise à jour dépend souvent du nombre de clients et peut donc prendre beaucoup de temps, il convient de mettre en place parallèlement d'autres mesures pour pallier ce retard : Redémarrage forcé du navigateur : Comme les mises à jour de Chrome ne prennent souvent effet qu’après un redémarrage, il convient d’appliquer des stratégies (GPO) obligeant les utilisateurs à fermer le navigateur. Renforcement des politiques de filtrage Web : bloquez temporairement l'accès aux domaines non classés ou nouvellement enregistrés via votre Secure Web Gateway (SWG) afin de compliquer la diffusion de l'exploit. Renforcement de la sécurité des e-mails : activez un filtrage strict des liens dans les e-mails entrants (réécriture des liens/sandboxing).
D'un point de vue stratégique, les entreprises doivent renforcer leurs mesures de protection contre l'ingénierie sociale. Cela passe notamment par des formations régulières à la sécurité destinées aux collaborateurs afin de leur permettre de détecter les tentatives de hameçonnage, ainsi que par la mise en place de contrôles techniques tels que DMARC, DKIM et SPF, afin de compliquer l'usurpation d'adresse e-mail.
La vulnérabilité CVE-2026-11645 concerne également directement les entreprises européennes : si l'exploitation de cette vulnérabilité entraîne la compromission de données à caractère personnel, l'obligation de notification dans un délai de 72 heures prévue à l'article 33 du RGPD s'applique auprès de l'autorité de contrôle compétente. Les entreprises soumises à la directive NIS 2 doivent en outre s'assurer que les processus de gestion des correctifs pour les logiciels des terminaux sont documentés et vérifiables. Le BSI recommande de manière générale d'installer sans délai les mises à jour des navigateurs, car il s'agit d'une mesure de sécurité critique.
Comment LocateRisk renforce la résilience face à ce type d'attaques
Bien que CVE-2026-11645 soit une vulnérabilité des terminaux, la surveillance de la surface d'attaque externe joue un rôle important dans la prévention de ce type de vecteurs d'attaque.
Gestion de la surface d'attaque externe (EASM) : LocateRisk identifie automatiquement les systèmes informatiques connectés à Internet, évalue leur niveau de sécurité et détecte les risques tels que les failles de configuration – notamment l'absence ou les lacunes des normes de sécurité des e-mails (SPF, DMARC), ainsi que les applications et services web obsolètes et accessibles au public. La direction et le service informatique reçoivent des rapports clairs et hiérarchisés sur la situation de sécurité ; des fonctionnalités intelligentes facilitent la mise en place de mesures de sécurité ciblées et accélèrent le processus de correction.
Gestion des risques liés aux fournisseurs (VRM) : La sécurité de votre chaîne d'approvisionnement est essentielle. De nombreuses applications tierces utilisées en entreprise — notamment les outils de bureau basés sur Electron ou les applications métier intégrant CEF — reposent sur le même moteur V8 que Google Chrome et sont donc tout aussi exposées à des vulnérabilités telles que CVE-2026-11645. LocateRisk vous aide à surveiller en continu la conformité des correctifs de ces composants basés sur un navigateur chez vos fournisseurs clés. Cela permet de détecter à un stade précoce si des fournisseurs tiers présentent des lacunes en matière de gestion des correctifs, ce qui pourrait mettre en danger votre propre organisation.
Sources et informations complémentaires
Questions fréquentes
Il s'agit d'une vulnérabilité activement exploitée dans le moteur JavaScript V8 de Google Chrome, dont le score CVSS est de 8.8 (Élevée). Elle permet à un attaquant distant d'exécuter n'importe quel code au sein du bac à sable du navigateur via une page Web piégée. La CISA a ajouté le CVE-2026-11645 à son catalogue des vulnérabilités connues et exploitées le 8 juin 2026. Le navigateur constituant la porte d’accès à tous les services SaaS de l’entreprise, cette faille expose les entreprises au vol de jetons de session et, par conséquent, à l’accès à des ressources cloud sensibles.
Pour Windows et macOS, la version est 149.0.7827.102/.103 ou plus récente. Les utilisateurs de Linux devraient passer à la version 149.0.7827.102 ou une version plus récente. Google a publié ces mises à jour le 8 juin 2026 ; l'état des correctifs peut être consulté dans le Avis aux fournisseurs de Google suivre.
Le rapport montre que la professionnalisation du phishing (notamment grâce à l'intelligence artificielle) augmente considérablement les taux de clics. Étant donné qu'un exploit tel que CVE-2026-11645 nécessite un clic, le risque d'accès initial réussi augmente dans tous les secteurs.
LocateRisk minimise les risques en amont : d'une part, en détectant les failles dans les protocoles de validation des e-mails (EASM) afin de lutter contre le phishing. D'autre part, en assurant une surveillance automatisée de la conformité en matière de sécurité de vos prestataires informatiques et fournisseurs de logiciels (VRM) qui utilisent ces mêmes composants logiciels vulnérables. Demander un contrôle de sécurité gratuit
Français 
Deutsch 
English