Une page web ordinaire, une faille invisible
Un utilisateur clique sur un lien anodin. Le site semble légitime, mais dans l’ombre, du code malicieux exploite une faille profonde du navigateur. Le cœur de Chrome — son moteur JavaScript et WebAssembly appelé V8 — interprète mal certaines données en mémoire. En quelques millisecondes, l’attaquant obtient la possibilité d’exécuter des opérations arbitraires. Pas d’alerte, pas de pop-up, juste un contrôle discret à distance.
C’est le scénario derrière CVE-2025-10585, un zero-day déjà exploité activement, corrigé en urgence par Google dans la mise à jour Chrome 140. Il s’agit du sixième zero-day Chrome découvert en 2025, un rythme qui illustre la pression croissante sur les navigateurs modernes.
Ce que l’on sait de la faille
Signalée le 16 septembre par le Threat Analysis Group (TAG) de Google,, CVE-2025-10585 est une vulnérabilité de type "confusion" dans le moteur V8. Les erreurs de ce type brisent les règles de sécurité mémoire et ouvrent la voie à des comportements imprévus : crashs, corruption de mémoire, voire exécution de code à distance (RCE).
Un attaquant peut déclencher l’exploitation simplement en incitant un utilisateur à ouvrir une page HTML spécialement conçue. Cela suffit pour lancer des opérations mémoire arbitraires, souvent première étape d’une chaîne plus large permettant d’échapper à la sandbox du navigateur.
Un patch qui ferme plusieurs portes
Google n’a pas encore communiqué de score CVSS officiel, mais il est clair que la gravité sera élevée — voire critique(>9). L’éditeur précise seulement : « Google est conscient qu’un exploit pour CVE-2025-10585 circule déjà dans la nature ».
La mise à jour publiée couvre aussi d’autres vulnérabilités pouvant compléter une chaîne d’attaque : deux failles use-after-free dans Dawn et WebRTC, ainsi qu’un dépassement de mémoire tampon dans ANGLE, le moteur graphique de Chrome. Ces composants sont des cibles fréquentes car ils permettent aux attaquants de sortir du sandboxing du navigateur et d’atteindre le système hôte.
Pourquoi c’est préoccupant
Six zero-days en neuf mois montrent que Chrome reste une cible privilégiée. La complexité de V8 — optimisé pour la vitesse avec du Just-In-Time (JIT) et du WebAssembly — en fait un terrain fertile pour les chercheurs… comme pour les attaquants.
Le fait que cette faille soit remontée par Google TAG laisse supposer des campagnes sophistiquées, probablement orchestrées par des fournisseurs de spyware commercial ou des acteurs étatiques, ciblant des profils sensibles : journalistes, dirigeants, diplomates, équipes R&D.
Mesures à prendre
La priorité absolue : patcher immédiatement. Chrome 140 (versions 140.0.7339.185/.186) doit être déployé sur Windows, macOS et Linux sous 72 heures maximum. Le redémarrage du navigateur est indispensable pour que la mise à jour soit effective.
Ensuite, il convient de réduire la fenêtre d’exposition :
- appliquer un déploiement prioritaire pour les VIP et équipes critiques (sous 24 h), puis généraliser ;
- renforcer les politiques de sécurité du navigateur (isolation de sites, liste blanche stricte des extensions, blocage des téléchargements exécutables non approuvés) ;
- activer les règles de protection mémoire de l’EDR/antivirus, qui peuvent intercepter les comportements suspects typiques des exploits.
Enfin, la surveillance SOC doit inclure des signaux faibles comme les crashs répétés de renderer ou de gpu-process, l’apparition de processus système enfants déclenchés par Chrome (cmd, mshta, PowerShell), ou des connexions sortantes inhabituelles après une session de navigation.
Traiter le navigateur comme un actif essentiel
CVE-2025-10585 rappelle que le navigateur est devenu un actif critique qu’il faut traiter au même titre qu’un serveur ou un VPN. La multiplication des zero-days exige des processus de patching rapides, des politiques de durcissement claires et une surveillance ciblée.
