Mozilla et Google ont publié cette semaine des mises à jour de sécurité majeures pour Firefox et Chrome : 167 failles corrigées dans Firefox 159, et 73 dans Chrome en deux mises à jour successives. Les deux éditeurs ne signalent pas d’attaque en cours exploitant ces failles, mais leur nombre et leur gravité justifient de mettre à jour sans attendre, recommande ZDNET.
Les versions à avoir
- Firefox : version 159 (publiée le 27 octobre). Pour la version entreprise : Firefox ESR 153.6 ou 115.44.
- Thunderbird : version 159 ou 153.6.
- Chrome sur ordinateur : 156.0.8078.79 ou .80 sous Windows et Mac, 156.0.8078.79 sous Linux (publiée le 29 octobre).
Firefox 159 : 167 failles, dont 109 jugées graves
Selon le bulletin de sécurité MFSA 2026-118 de Mozilla, publié le 27 octobre, Firefox 159 corrige 167 vulnérabilités. Nous avons compté 109 failles d’impact « élevé », 52 « modéré » et 7 « faible ». Aucune n’est classée « critique ».
Ce nombre très élevé s’explique en partie par un changement de méthode : Mozilla indique qu’il publie désormais une fiche par bogue, au lieu de regrouper les failles mémoire dans une seule référence.
Plusieurs failles permettent de « sortir du bac à sable » (sandbox), la zone isolée qui empêche une page web malveillante d’agir sur le reste de votre ordinateur. D’autres sont des erreurs de gestion de la mémoire (« use-after-free ») qui peuvent faire planter le navigateur ou permettre d’exécuter du code malveillant, explique ZDNET.
Mozilla a publié le même jour des correctifs pour les versions entreprise (Firefox ESR 153.6 et 115.44) et pour la messagerie Thunderbird.
Chrome : deux mises à jour en trois jours
Google a d’abord publié le 27 octobre Chrome 156.0.8078.73/.74, qui corrige 52 failles de sécurité, dont 4 critiques et 46 élevées. Les failles critiques touchent notamment le système de fichiers, l’API de fichiers, la bibliothèque graphique Skia et la mise en page.
Deux jours plus tard, le 29 octobre, une nouvelle version 156.0.8078.79/.80 a corrigé 21 failles supplémentaires, dont une critique dans MediaStream (le module qui gère caméra et micro). C’est cette dernière version qu’il faut avoir.
Fait notable : une partie de ces failles a été trouvée avec l’aide d’outils d’intelligence artificielle. Le bulletin de Google crédite plusieurs découvertes à un chercheur d’Anthropic « assisté par Claude » et d’autres à l’outil de sécurité d’OpenAI.
Comment mettre à jour en 30 secondes
Firefox : cliquez sur le menu (les trois traits en haut à droite), puis « Aide » et « À propos de Firefox ». La mise à jour se télécharge. Redémarrez le navigateur.
Chrome : cliquez sur les trois points en haut à droite, puis « Aide » et « À propos de Google Chrome ». Chrome vérifie et installe la mise à jour. Cliquez sur « Relancer ».
Sur mobile : passez par le Play Store ou l’App Store. Google indique que la version Android de Chrome 156 contient les mêmes correctifs que la version pour ordinateur.
Vos questions
Mon navigateur se met-il à jour tout seul ? En général oui, mais seulement après un redémarrage. Si vous ne fermez jamais votre navigateur, la mise à jour peut rester en attente.
Ces failles sont-elles déjà utilisées par des pirates ? Ni Mozilla ni Google ne signalent d’exploitation active dans ces bulletins.
Edge, Brave ou Opera sont-ils concernés ? Ces navigateurs reposent sur la même base que Chrome (Chromium). Leurs éditeurs publient leurs propres mises à jour : vérifiez-les de la même façon.
Ce qu’Ouelen a vérifié
Les numéros de version et les nombres de failles viennent directement des bulletins de Mozilla et du blog officiel des versions de Chrome. Nous avons compté nous-mêmes la répartition par gravité dans le bulletin de Firefox. ZDNET donne 108 failles « élevées » pour Firefox ; le bulletin en compte 109.
Sources : Mozilla, MFSA 2026-118, Mozilla, bulletins de sécurité, Google, Chrome Releases (27 octobre), Google, Chrome Releases (29 octobre), ZDNET.
Photo d’illustration : Junaruga / Wikimedia Commons, licence CC0.
