Firefox 160 corrige près de 100 failles, dont des évasions de sandbox ; Chrome et Apple publient aussi des correctifs

Mozilla a publié Firefox 160 le 10 novembre 2026 avec des correctifs pour 99 failles de sécurité, dont plusieurs évasions de sandbox — des failles qui pourraient permettre à un site malveillant de sortir de l'environnement isolé du navigateur. La même semaine, Google a corrigé un zero-day dans Chrome et Apple a livré iOS 27.2.1 avec des correctifs pour iMessage. C'est une semaine pour mettre à jour navigateur et téléphone sans attendre.

Firefox 160 : 99 CVE et évasions de sandbox

Selon le bulletin officiel de Mozilla, le Mozilla Foundation Security Advisory 2026-125, Firefox 160 corrige 99 CVE : 57 à impact élevé, 24 modérées et 18 faibles. Parmi les plus graves figurent des évasions de sandbox dans les composants graphiques et texte (CVE-2026-124853), la navigation DOM (CVE-2026-124855), l'API de cache de stockage (CVE-2026-124859), l'audio et la vidéo (CVE-2026-124861) et les service workers (CVE-2026-124864, avec un score CVSS de 9,6). Les correctifs concernent aussi les versions à support étendu, Firefox ESR 153.7 et ESR 115.45, et Tor Browser 16.0.1 intègre les mêmes correctifs. Mozilla n'a signalé aucune exploitation active de ces failles — ce qui ne rend pas la mise à jour moins urgente.

Au-delà de la sécurité, Firefox 160 apporte Mini Window, qui permet de détacher un onglet — ou une partie de page — dans une petite fenêtre toujours visible, ainsi que des contrôles de vitesse pour le picture-in-picture.

Chrome corrige un zero-day, le sixième de l'année

Google a publié Chrome 157.0.8103.50 avec neuf correctifs de sécurité, dont la CVE-2026-125350, décrite comme le sixième zero-day de Chrome en 2026. La mise à jour suit la version stable de Chrome 157 du 3 novembre, qui avait déjà corrigé 213 failles, dont sept critiques. Les utilisateurs de navigateurs basés sur Chromium, comme Edge, doivent aussi surveiller les mises à jour correspondantes.

Apple : iOS 27.2.1 corrige des failles d'iMessage

Le 9 novembre, Apple a publié des mises à jour hors cycle — iOS 27.2.1, iPadOS 27.2.1, macOS 27.2.1, watchOS 27.2.1 et visionOS 27.2.1 — corrigeant neuf vulnérabilités sur iPhone et iPad. Les plus sensibles concernent iMessage : une faille (CVE-2026-113961) pourrait permettre à un attaquant distant de rejoindre un groupe et de recevoir ses messages, et une autre (CVE-2026-113960) pourrait permettre à une personne ajoutée à un groupe de lire les messages envoyés avant son arrivée. Les mises à jour corrigent aussi des failles AirPlay et Bluetooth. Les appareils sur des versions plus anciennes reçoivent les mêmes correctifs dans iOS 26.7.3 et iOS 18.7.12. Apple n'a signalé aucune exploitation active de ces failles.

Une semaine de correctifs

Cette vague de correctifs complète le Patch Tuesday de novembre de Microsoft, qui a corrigé 1 093 failles — dont un zero-day d'Outlook déjà exploité —, sujet d'un précédent article de Geekiki. La précédente série de navigateurs, Chrome 156 et Firefox 159, avait corrigé 219 failles fin octobre. Le conseil reste le même : mettez à jour votre navigateur et votre système d'exploitation maintenant, plutôt que d'attendre le prochain cycle.

Image de couverture : capture d’écran du navigateur Mozilla Firefox, via Wikimedia Commons.

Fontes

Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, en croisant des publications publiques et des sources internet. Nous recommandons de consulter les sources originales listées ci-dessous pour confirmer les informations.

Muse