Multiples vulnérabilités dans Google Chrome

CVE-2022-2856 · Publié le 26/09/2022 · Révisé le 17/06/2026

MOYENNE 6.5 ⚑ Exploitation active connue EPSS 0.05 · 91ᵉ centileCWE-20

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Produits et versions affectés

Explication de la faille

Conditions à réunir pour exploiter cette faille, telles que publiées :

• exploitable à distance, depuis le réseau
• sans authentification préalable
• requiert une action de la victime (ouvrir un fichier, suivre un lien)
• aucune condition particulière à réunir

Atteinte totale à l'intégrité des données.

L'impact reste confiné au composant vulnérable.

Exploitation connue

Exploitation avérée.

La CISA a inscrit cette vulnérabilité à son catalogue des failles activement exploitées le 18 août 2022. L'inscription à ce catalogue signifie qu'une exploitation a été constatée, pas qu'elle est probable.

Les agences fédérales américaines avaient jusqu'au 8 septembre 2022 pour appliquer le correctif. Cette échéance ne vous engage pas, mais elle donne l'urgence retenue par la CISA.

Le score EPSS estime à 4.5 % la probabilité qu'une tentative d'exploitation soit observée dans les trente prochains jours. Cette valeur la situe au 91ᵉ centile : 91 % des vulnérabilités connues ont une probabilité plus faible.

Vérifier la présence sur votre système

Les navigateurs se mettent à jour seuls, mais seulement après un redémarrage complet. Une version affichée à jour sur un onglet ouvert depuis plusieurs jours ne prouve rien.

Relevez la version installée, puis comparez-la aux plages listées plus haut. Une version absente de ces plages n'est pas concernée par cet avis. Un service redémarré depuis la mise à jour peut encore exécuter l'ancien binaire : vérifiez la version du processus en cours, pas seulement celle du paquet.

Relevez la version installée, puis comparez-la aux plages listées plus haut. Une version absente de ces plages n'est pas concernée par cet avis.

Chrome et Chromium : chrome://version
Edge : edge://version
Firefox : about:support
Safari : Safari → À propos de Safari

(Get-Item 'C:\Program Files\Google\Chrome\Application\chrome.exe').VersionInfo.ProductVersion

nom-du-produit --version 2>/dev/null || google-chrome --version

httpd -v 2>/dev/null || apache2 -v
nginx -v
java -version
php -v

Ces commandes ne font que lire l'état du système : aucune n'installe, ne modifie ni ne redémarre quoi que ce soit. Les produits affectés relèvent de 3 familles : seules les vérifications les plus courantes sont reprises ici.

Correctif et contournements

Versions à partir desquelles la faille est corrigée :

• Google Chrome 104.0.5112.101, 104.0.5112.102

Ces numéros sont déduits des bornes de version du NVD : la borne haute d'une plage vulnérable est la première version corrigée de sa branche. Le bulletin de l'éditeur, lié ci-dessous, reste la référence — lui seul mentionne les contournements et les conditions de mise à jour.