CVE-2026-91749 : utilisation de mémoire après libération (use-after-free) dans les web workers de Google Chrome

HERMES

SCORE DE MENACE HERMES & COMPROMISSION DU PROCESSUS DE RENDU

Cible : Google Chrome Desktop & Android — Gestionnaire de cycle de vie Blink DedicatedWorker

Confiance : 96%

89 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 18 / 20

Militarisation 18 / 20

Exposition 19 / 20

Prévalence 20 / 20

Impact 18 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 18 / 20

⚖️ Divergence & Justification opérationnelle

Évaluée à CVSS 8.8 et HTS 89 (ÉLEVÉ). Une condition de concurrence lors de la terminaison d'un Web Worker permet de conserver un pointeur non valide dans le processus de rendu. Un site web malveillant peut réordonner la mémoire du tas PartitionAlloc pour obtenir l'exécution de code arbitraire.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-91749: Google Chrome Web Workers Subsystem Use-After-Free Remote Code ExecutionVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTGoogle Chromium / V8 Engine

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Google Chromium / V8 Engine documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Avis de sécurité Google Chrome de septembre 2026

CVSS v3.1 : 8.8 élevé : (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) / CWE-416 : utilisation de mémoire après libération. Affecte Google Chrome pour Windows, macOS, Linux et Android avant la version 153.0.8010.47.

Synthèse exécutive

Publiée dans le bulletin de sécurité Google Chrome de septembre 2026, CVE-2026-91749 est une faille Use-After-Free dans le moteur de rendu Blink. Lorsqu’une application web termine brusquement un DedicatedWorker alors que des messages asynchrones entre threads sont en transit, le thread principal accède à un objet WorkerThread déjà libéré, ouvrant la voie à une exécution de code dans le bac à sable du moteur de rendu.

---

1. Contexte technique & matrice des versions affectées

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2026-91749	Bulletin Google Chrome Stable
Classe de vulnérabilité	Use-After-Free (CWE-416)	Exécution de code dans le processus de rendu
Composant affecté	Gestionnaire de cycle de vie WorkerThread de Blink	Runtime JavaScript multi-thread
Authentification requise	Aucune (PR:N)	Visite d’un site web malveillant
Interaction utilisateur	Requise (UI:R)	Chargement de la page par l’utilisateur
Impact sur le périmètre	Non étendu (S:U)	Confiné au processus de rendu (nécessite une évasion pour sortir)
Versions affectées	Google Chrome Desktop & Android < 153.0.8010.47	Toutes plateformes prises en charge
Cible de remédiation	Google Chrome 153.0.8010.47	Déploiement de la version stable

---

2. Remédiation & durcissement

1. Action immédiate T0 (< 24h) — mettre à jour Google Chrome : Déployer Google Chrome 153.0.8010.47 sur l’ensemble des postes de travail et flottes mobiles.
2. Durcissement tactique T1 (< 7j) — activer l’isolation de site : Vérifier que la politique d’entreprise impose le mode strict d’isolation des sites (--site-per-process).

---

3. Renseignement connexe

Renseignement Logiciel Google Chromium / V8 Consultez les analyses de sécurité et les architectures de protection de Chromium.

Dépassement de Tampon WebGL (CVE-2026-93372) Analysez la vulnérabilité conjointe permettant l'évasion de bac à sable sur Android.

Audit Privé de Stack Vérifiez l'exposition de votre parc de navigateurs en toute confidentialité.