Firefox 159 et Chrome 156 corrigent 219 failles : comment vérifier sa version

Le 27 octobre 2026, Mozilla et Google ont publié le même jour des mises à jour majeures de sécurité : Firefox 159 corrige 167 failles et Chrome 156 en corrige 52, soit 219 vulnérabilités au total selon Betanews. Aucune exploitation active n'est signalée à ce jour, mais plusieurs failles sont classées critiques.

Ce genre de correctif massif et simultané sur les deux navigateurs les plus utilisés au monde n'est pas anodin : il concerne directement tout site web, puisque c'est le navigateur qui exécute le code côté utilisateur. Voici le détail de ce qui a été corrigé, pourquoi certaines failles méritent une attention particulière, et comment s'assurer en quelques clics que votre version est bien à jour.

À retenir

Firefox 159 corrige 167 failles (108 sévères, 52 modérées, 7 faibles), détaillées dans l'avis MFSA 2026-118 de Mozilla.
Chrome 156.0.8078.73/.74 corrige 52 failles dont 4 critiques (corruption mémoire, use-after-free, validation d'entrée défaillante).
41 des 167 failles de Firefox ont été signalées par OpenAI : 34 via l'outil Codex Security, 7 par la chercheuse Amy Burnett.
Mozilla a aussi mis à jour Thunderbird 159, Thunderbird 153.6 et les versions ESR 153.6 et 115.44 de Firefox.
Aucune exploitation active n'est signalée à ce jour : la mise à jour reste préventive, mais urgente compte tenu du volume.

01Firefox 159 : 167 failles corrigées, dont 108 sévères

Selon Notebookcheck, Mozilla a publié Firefox 159 le 27 octobre 2026 avec un correctif qui couvre 167 vulnérabilités listées individuellement dans l'avis officiel MFSA 2026-118 : 108 de sévérité élevée, 52 modérées et 7 faibles. Aucune de ces failles n'est, à la date de publication, signalée comme exploitée activement.

Thunderbird et les versions ESR concernées aussi

Le correctif ne s'arrête pas au navigateur grand public. D'après SecurityWeek, Mozilla a publié le même jour Thunderbird 159 et Thunderbird 153.6, ainsi que les versions ESR (support étendu) Firefox 153.6 et 115.44, qui intègrent une partie de ces mêmes correctifs. Les entreprises qui déploient les versions ESR ne doivent donc pas se croire à l'abri parce qu'elles ne suivent pas les versions grand public.

02Chrome 156 : 52 failles dont 4 critiques

Google a déployé Chrome 156.0.8078.73/.74 sur Windows et macOS, et 156.0.8078.73 sur Linux, également le 27 octobre 2026. Selon SecurityWeek, ce correctif couvre 52 failles de sécurité, dont 4 classées critiques : une corruption mémoire dans le composant FileSystem, une validation d'entrée incorrecte dans FileAPI, une autre dans le moteur graphique Skia, et un bug de type use-after-free dans le moteur de mise en page (Layout).

Un use-after-free dans le moteur de rendu est historiquement le type de faille le plus recherché par les attaquants pour exécuter du code arbitraire à distance, simplement en faisant visiter une page piégée. C'est ce qui justifie de ne pas reporter la mise à jour.

03Comment vérifier sa version et forcer la mise à jour

Les deux navigateurs se mettent normalement à jour automatiquement en arrière-plan, mais la mise à jour n'est effective qu'au redémarrage du navigateur. Si vous laissez vos onglets ouverts en permanence, vous pouvez très bien tourner encore sur une version vulnérable sans le savoir.

Sur Chrome

Tapez chrome://settings/help dans la barre d'adresse (ou menu ⋮ > Aide > À propos de Google Chrome). La page vérifie et télécharge automatiquement la dernière version. Vous devez voir au minimum la version 156.0.8078.73 (ou .74 sur Windows/macOS). Un bouton « Relancer » apparaît une fois le téléchargement terminé : cliquez-le pour que la mise à jour prenne effet immédiatement.

Sur Firefox

Allez dans le menu ☰ > Aide > À propos de Firefox, ou tapez about:preferences#general puis descendez jusqu'à « Mises à jour de Firefox ». La version affichée doit être Firefox 159 (ou l'ESR 153.6/115.44 si vous êtes sur une branche entreprise). Là aussi, un redémarrage est nécessaire pour activer le correctif, même si le téléchargement s'est fait silencieusement.

04Le signal IA : Codex Security a trouvé 41 des failles Firefox

Le détail le plus intéressant de ce correctif pour une audience SEO/IA n'est pas le volume, c'est la provenance d'une partie des découvertes. Sur les 167 failles corrigées dans Firefox 159, 41 ont été signalées par OpenAI : 34 par l'outil automatisé Codex Security et 7 par la chercheuse Amy Burnett, employée d'OpenAI, selon Notebookcheck.

Un quart des failles corrigées dans Firefox 159 vient d'un outil d'IA, pas d'un chercheur humain.

Codex Security est une déclinaison de l'outil de code d'OpenAI, orientée audit automatisé de vulnérabilités à grande échelle. Que cet outil ait contribué à un quart des correctifs d'une mise à jour Firefox illustre un basculement déjà visible côté productivité avec Codex chez Oracle : l'IA s'installe aussi dans le fastidieux travail de scan de code source à la recherche de failles, un terrain jusque-là dominé par des chercheurs humains spécialisés en sécurité.

Pour qui suit le sujet des failles critiques exploitées à grande échelle, comme ce fut le cas avec PHP2Shell sur 70 % du Web, ce basculement vers une détection assistée par IA pourrait, à terme, réduire la fenêtre entre la mise en production d'une faille et sa découverte, à condition que les éditeurs patchent aussi vite que l'IA détecte.

Le lecteur se demande souvent

Faut-il craindre une core update imminente à cause de cet incident ? Combien de temps Google met-il en général à combler ce type de trou ? Mon site WordPress est-il concerné par la faille PHP du 20 octobre 2026 ?

Questions fréquentes

Faut-il s'inquiéter même sans exploitation active signalée ?

Oui, dans la mesure du raisonnable : aucune des 219 failles n'est signalée comme exploitée au 27 octobre 2026, mais les failles critiques de Chrome (corruption mémoire, use-after-free) sont exactement le type de bug qui devient une exploitation active en quelques semaines une fois le correctif public analysé par des attaquants. Mettre à jour maintenant coûte deux clics, attendre ne coûte rien de visible jusqu'au jour où ça coûte cher.

Les versions ESR de Firefox (entreprise) sont-elles concernées ?

Oui. Mozilla a publié Firefox ESR 153.6 et 115.44 le même jour, avec une partie des mêmes correctifs que Firefox 159. Les administrateurs qui gèrent un parc sous ESR doivent vérifier leur canal de déploiement plutôt que de se fier uniquement à la version grand public.

Qu'est-ce que Codex Security d'OpenAI exactement ?

C'est un outil automatisé d'OpenAI orienté vers l'audit de code et la détection de vulnérabilités. Dans ce correctif Firefox 159, il est crédité de la découverte de 34 des 167 failles corrigées, un volume comparable à ce qu'apportent plusieurs chercheurs humains réunis.

Chrome et Firefox se sont-ils coordonnés pour publier le même jour ?

Les faits vérifiés ne permettent pas de l'affirmer : aucune source ne mentionne de coordination explicite entre Mozilla et Google. Il peut s'agir d'une coïncidence de calendrier de publication, les deux éditeurs suivant des cycles de release réguliers.

Sources

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo

#Firefox #Chrome #Cybersecurite #OpenAICodex #MiseAJour